CVE-2026-67409

RabbitMQ mesajlaşma və axın brokeridir. 3.13.0 versiyasından etibarən 4.3.3, 4.2.9, 4.1.14, 4.0.23 və 3.13.18 versiyalarına qədər olan dövrdə, JWKS Fetch HTTP cavab status kodunu nəzərə almır - İmzalama açarının məhv edilməsi autentifikasiya üçün DoS-a səbəb olur (CWE-252). uaajwt.erl faylındakı JWKS açarlarının əldə edilmə mexanizmi, imzalama açarları OAuth2 provayderinin JWKS son nöqtəsindən yüklənərkən HTTP cavab status kodunu yoxlamır. 200 olmayan cavablar (o cümlədən 4xx və 5xx xətaları) uğurlu cavablarla eyni şəkildə emal edilir. JWKS son nöqtəsi "keys" sahəsi olmayan düzgün JSON gövdəli xəta cavabı qaytardıqda, əvvəllər keşlənmiş bütün imzalama açarları məhv edilir və bu da davamlı autentifikasiya imtinasına səbəb olur. Fayllar: deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, sətirlər 50-63; deps/rabbitmqauthbackendoauth2/src/uaajwks.erl, sətirlər 5-7; deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, sətirlər 98-107. Xəta 1: HTTP status kodu nəzərə alınmayıb (uaajwt.erl:50-63): Erlang httpc modulu {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}} dəyərini qaytarır. {ok, {, , JwksBody}} şablonu HƏR BİR uğurlu HTTP tranzaksiyasına uyğun gəlir. Davamlı autentifikasiya DoS: Açarlar məhv edildikdən sonra, yeni uğurlu JWKS yenilənməsi baş verənə qədər bütün istifadəçilər üçün BÜTÜN OAuth2/JWT autentifikasiyaları uğursuz olur. Gücləndirmə: Tək bir hücumçu bütün RabbitMQ boyunca bütün legitim OAuth2 istifadəçilərinin girişini bloklaya bilər. Bu problem 4.3.3, 4.2.9, 4.1.14, 4.0.23 və 3.13.18 versiyalarında düzəldilmişdir.