CVE-2026-67410

Beschreibung

Rabbitmq ist ein messaging- und streaming-broker. Von 4.2.0 bis 4.3.3 und 4.2.9, OAuth2 Client Secret Exposed via Unauthenticated JavaScript Endpoint (CWE-200). Wenn die OAuth2-Authentifizierung für die RabbitMQ Management-Benutzeroberfläche aktiviert ist und der konfigurierte Fluss, IDP ein Clientgeheimnis verwendet, wird der oauthclientsecret-Konfigurationswert in das JavaScript aufgenommen, das vom nicht authentifizierten Endpunkt /js/oidc-oauth/bootstrap.js bedient wird. Jeder Benutzer, der den Management-UI-Port erreichen kann, kann das OAuth2-Clientgeheimnis ohne Dateien abrufen: deps/rabbitmqmanagement/src/rabbitmgmtwmauth.erl, Zeile 186 deps/rabbitmgmtoauthbootstrap.erl, Zeilen 35-50 deps/rabbitmqmanagement/src/rabbitmgmtdispatcher.erl, Zeilen 45-49 (Route Registration) Code Path: 1. Die Route /js/oidc-oauth/bootstrap.js ist als einfacher Cowboy-Handler registriert (rabbitmgmtdispatcher.erl:46): Anmeldeinformationen für die betroffene Konfiguration: OAuth2-Clientgeheimnis ist ohne Authentifizierungs-Tokendiebstahl zugänglich: Der Angreifer kann den Autorisierungscodefluss mit gestohlenen Autorisierungscodes abschließen Client-Imitation: Der Angreifer kann Anfragen stellen. Jeder RabbitMQ-Einsatz mit: Dieses Problem wird in den Versionen 4.3.3 und 4.2.9 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Broadcom rabbitmq server.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.