CVE-2026-66068
Açıklama
RabbitMQ bir mesajlaşma ve akış aracısıdır. 3.13.15, 4.0.20, 4.1.11, 4.2.6 ve 4.3.0 versiyonlarından öncekilerde, ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) tüm durum haritasını biçimlendirir. 'uris' alanı, credentials_obfuscation:decrypt (rabbit_shovel_util:deobfuscated_uris/2 içinde çağrılır) işleminden sonra düz metin URI'leri tutar. rabbit_shovel_worker içerisinde bunu gizleyecek bir format_status/1,2 geri çağırması mevcut değildir. Bu durum, otomatik silme özelliğine sahip bir shovel (src-delete-after = N) tamamlandığında tetiklenir. DEBUG günlüğü etkinleştirildiğinde, otomatik silme shovel işleminin tamamlanması; şifresi çözülmüş amqp://user:password@host/ URI'leri de dahil olmak üzere tam shovel durum haritasını aracı günlük dosyasına yazar. Ön koşullar arasında Shovel eklentisinin URI gömülü kimlik bilgileriyle etkin olması, DEBUG günlük seviyesi (varsayılan değil), otomatik silme shovel yapılandırması ve saldırganın günlük okuma erişimine sahip olması yer alır. Bu sorun 3.13.15, 4.0.20, 4.1.11, 4.2.6 ve 4.3.0 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- broadcom rabbitmq_server3.13.15, 4.0.20, 4.1.11, 4.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom rabbitmq_server | 3.13.0 ≤ v < 3.13.15, 4.0.0 ≤ v < 4.0.20, 4.1.0 ≤ v < 4.1.11, 4.2.0 ≤ v < 4.2.6 | 3.13.15, 4.0.20, 4.1.11, 4.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.