CVE-2026-66077 in RabbitMQ
Zusammenfassung
von VulDB • 23.09.2026
RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 verwendet die Management-Oberfläche EJS 1.0, bei dem <%= ... %> NICHT HTML-escapet wird. connection.ejs:135 rendert <%= connection.ssl_details.peer_cert_subject %> (sowie peer_cert_issuer) direkt in die Seite. Das gleiche Muster erscheint in streamConnection.ejs:102,106,110. Die Werte stammen von rabbit_ssl:peer_cert_subject/1, das den DN als String formatiert, ohne HTML-Escaping anzuwenden. Der Verifizierer hat die ursprüngliche Behauptung des Forschers korrigiert: Dies ist nur erreichbar, wenn der Listener mit verify_peer konfiguriert ist (das Zertifikat muss also von einer CA im Trust-Store des Brokers signiert sein und nicht beliebig selbstsigniert); jedoch kontrollieren in Bereitstellungen, die mTLS für die Client-Authentifizierung verwenden, alle Benutzer, die ein Zertifikat von der organisationalen CA anfordern können, den Subject CN. Ein Angreifer, der ein TLS-Client-Zertifikat erhalten kann, das von einer vom Broker vertrauenswürdigen CA signiert ist (mit aktiviertem verify_peer), kann JavaScript in dem DN des Subjekts des Zertifikats einbetten. Wenn ein Administrator diese Verbindung in der Management-Oberfläche ansieht, wird das Skript in der Browsersitzung des Administrators ausgeführt und ermöglicht eine vollständige Kontenübernahme (Erstellen von Benutzern, Exportieren von Definitionen usw.). Die Content-Security-Policy (CSP) der Management-Oberfläche enthält 'unsafe-inline', sodass die Ausführung von Inline-Skripts nicht blockiert wird. Voraussetzungen sind: TLS-Listener mit ssl_options.verify = verify_peer konfiguriert; Angreifer kann ein CA-signiertes Client-Zertifikat mit einem vom Angreifer gewählten Subject (z. B. selbstbedientes Unternehmens-PKI oder rabbitmq_trust_store-Plugin in Verwendung) erhalten; Administrator sieht die Detailseite der Verbindung an. Dieses Problem ist in den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.