CVE-2026-67409

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Von 3.13.0 bis 4.3.3, 4.2.9, 4.1.14, 4.0.23 und 3.13.18 ignoriert JWKS Fetch HTTP Response Status Code - Signing Key Destruction Causes Authentication DoS (CWE-252). Der JWKS-Schlüsselabrufmechanismus in uaajwt.erl validiert den HTTP-Antwortstatuscode nicht, wenn Signierschlüssel vom JWKS-Endpunkt des OAuth2-Anbieters heruntergeladen werden. Nicht-200 Antworten (einschließlich 4xx und 5xx Fehler) werden identisch mit erfolgreichen Antworten verarbeitet. Wenn der JWKS-Endpunkt eine Fehlerantwort mit einem gültigen JSON-Body zurückgibt, dem ein Schlüsselfeld fehlt, werden alle zuvor zwischengespeicherten Signaturschlüssel zerstört, was zu einer anhaltenden Authentifizierungsverweigerung von Dateien führt: deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, Zeilen 50-63 deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, Zeilen 98-107 Bug 1: HTTP-Statuscode ignoriert (uaajwt.erl:50-63): Das Erlang httpc-Modul gibt {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}} zurück. Das Muster {ok, {, , JwksBody}} stimmt mit JEDER erfolgreichen HTTP-Transaktion überein Persistente Authentifizierung DoS: Sobald Schlüssel zerstört sind, schlägt ALLE OAuth2/JWT-Authentifizierung für alle Benutzer fehl, bis eine neue erfolgreiche JWKS-Aktualisierung erfolgt Verstärkung: Ein einzelner Angreifer kann allen legitimen OAuth2-Benutzern im gesamten RabbitMQ den Zugriff verweigern. Dieses Problem wird in den Versionen 4.3.3, 4.2.9, 4.1.14, 4.0.23 und 3.13.18 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.