CVE-2026-67405
Açıklama
RabbitMQ bir mesajlaşma ve akış aracıdır. 3.13.15, 4.0.20, 4.1.11, 4.2.6 ve 4.3.0 versiyonlarından öncekilerde, ne Web-MQTT işleyicisi (deps/rabbitmq_web_mqtt/src/rabbit_web_mqtt_handler.erl:104) ne de Web-STOMP işleyicisi (deps/rabbitmq_web_stomp/src/rabbit_web_stomp_handler.erl:102), WebSocket yükseltmesi sırasında Origin başlığını doğrulamaktadır. ssl_cert_login=true durumunda tarayıcı istemci sertifikasını otomatik olarak sunduğundan, kurbanın tarayıcısında çalışan bir saldırgan JavaScript kodu, kurban olarak kimlik doğrulaması yapabilir. Ön koşullar arasında varsayılan olmayan yapılandırmalar olan use_http_auth=true (Web-STOMP) veya ssl_cert_login=true (her iki eklenti için) seçeneklerinin etkinleştirilmiş olması gerekir. Sorun, varsayılan bant içi (in-band) CONNECT kimlik bilgileri yapılandırması altında zararsızdır. Bu sorun 3.13.15, 4.0.20, 4.1.11, 4.2.6 ve 4.3.0 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- broadcom rabbitmq_server3.13.15, 4.0.20, 4.1.11, 4.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom rabbitmq_server | 3.13.0 ≤ v < 3.13.15, 4.0.0 ≤ v < 4.0.20, 4.1.0 ≤ v < 4.1.11, 4.2.0 ≤ v < 4.2.6 | 3.13.15, 4.0.20, 4.1.11, 4.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.