CVE-2026-67409
Açıklama
RabbitMQ bir mesajlaşma ve akış aracıdır. 3.13.0 ile 4.3.3, 4.2.9, 4.1.14, 4.0.23 ve 3.13.18 sürümleri arasında, JWKS Getirme İşlemi HTTP Yanıt Durum Kodunu Yoksayıyor - İmzalama Anahtarının Yok Edilmesi Kimlik Doğrulama Hizmet Reddine (DoS) Neden Oluyor (CWE-252). uaajwt.erl dosyasındaki JWKS anahtar getirme mekanizması, imzalama anahtarlarını OAuth2 sağlayıcısının JWKS uç noktasından indirirken HTTP yanıt durum kodunu doğrulamamaktadır. 200 dışındaki yanıtlar (4xx ve 5xx hataları dahil), başarılı yanıtlarla aynı şekilde işlenmektedir. JWKS uç noktası, keys alanı eksik olan geçerli bir JSON gövdesine sahip bir hata yanıtı döndürdüğünde, önceden önbelleğe alınmış tüm imzalama anahtarları yok edilmekte ve bu da kalıcı bir kimlik doğrulama hizmet reddine neden olmaktadır. Dosyalar: deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, satırlar 50-63; deps/rabbitmqauthbackendoauth2/src/uaajwks.erl, satırlar 5-7; deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, satırlar 98-107. Hata 1: HTTP durum kodu yoksayıldı (uaajwt.erl:50-63): Erlang httpc modülü {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}} değerini döndürür. {ok, {, , JwksBody}} deseni HERHANGİ bir başarılı HTTP işlemiyle eşleşir. Kalıcı kimlik doğrulama DoS: Anahtarlar yok edildiğinde, yeni bir başarılı JWKS yenilemesi gerçekleşene kadar tüm kullanıcılar için TÜM OAuth2/JWT kimlik doğrulamaları başarısız olur. Artırım: Tek bir saldırgan, tüm RabbitMQ genelinde tüm meşru OAuth2 kullanıcılarının erişimini engelleyebilir. Bu sorun 4.3.3, 4.2.9, 4.1.14, 4.0.23 ve 3.13.18 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- broadcom rabbitmq_server3.13.18, 4.0.23, 4.1.14, 4.2.9, 4.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom rabbitmq_server | 3.13.0 ≤ v < 3.13.18, 4.0.0 ≤ v < 4.0.23, 4.1.0 ≤ v < 4.1.14, 4.2.0 ≤ v < 4.2.9, 4.3.0 ≤ v < 4.3.3 | 3.13.18, 4.0.23, 4.1.14, 4.2.9, 4.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.