CVE-2026-67406
Təsvir
RabbitMQ mesajlaşma və axın brokeridir. 4.0.0 versiyasından etibarən 4.3.3, 4.2.9, 4.1.14 və 4.0.23 versiyalarına qədər, Shovel crash reporter tərəfindən qeydə alınan vəziyyəti formatlamır və crash dump faylında şifrələnməmiş etibarlılıq məlumatlarını saxlaya bilər. Shovel worker genserver prosesləri formatstatus/2 callback funksiyasını tətbiq etmir. Bu proseslər çökdükdə (məsələn, şəbəkə bölünməsi, bağlantı xətaları səbəbindən), OTP SASL xəta idarəedicisi tam proses vəziyyətini, o cümlədən açıq mətn formatında olan AMQP şifrələrini və URI-ləri xəta loquna yazır. Bu, bütün proses üçün öz genserver vəziyyətində obfuskasiya olunmamış açıq mətn URI-lərini (o cümlədən amqp://user:password@host formatını) saxlayan shovel worker üçün xüsusilə təhlükəlidir. Etibarlılıq Məlumatlarının Avtomatik Açılması: Shovel worker-in çökməsi (şəbəkə bölünmələri zamanı rast gəlinən haldır) avtomatik olaraq yuxarı/aşağı axın şifrələrini açıq mətn formatında xəta loqlarına yazır. Xüsusi Konfiqurasiya Tələb Olunmur: DEBUG loqlamasından fərqli olaraq, SASL xəta hesabatları həmişə aktivdir. Genişmiqyaslı. Bu problem 4.3.3, 4.2.9, 4.1.14 və 4.0.23 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- broadcom rabbitmq_server4.0.23, 4.1.14, 4.2.9, 4.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| broadcom rabbitmq_server | 4.0.0 ≤ v < 4.0.23, 4.1.0 ≤ v < 4.1.14, 4.2.0 ≤ v < 4.2.9, 4.3.0 ≤ v < 4.3.3 | 4.0.23, 4.1.14, 4.2.9, 4.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.