CVE-2026-67415 in RabbitMQ
Zusammenfassung
von VulDB • 25.09.2026
RabbitMQ ist ein Messaging- und Streaming-Broker. Von der Version 4.2.0 bis einschließlich 4.2.9 sowie in der Reihe 4.3.x (bis 4.3.3) konvertierte der Parser für den Shovel-Parameter angreiferkontrollierte Laufzeitparameterwerte in nicht vom Garbage Collector bereinigte Erlang-Atome, bevor diese auf einen zulässigen Bereich beschränkt oder gegen eine feste Allowlist überprüft wurden. Die Ausnutzung (Exploitation) erfordert Netzwerkzugriff auf die Management HTTP API, gültige Anmeldeinformationen mit den Tags „management“ und „policymaker“, Berechtigungen zum Festlegen von Shovel-Laufzeitparametern für ein vhost sowie aktivierte Plugins rabbitmq_shovel und rabbitmq_shovel_management. Der Angreifer kann die knotenweite Atomtabelle erschöpfen und einen Dienstverweigerung (Denial of Service) verursachen; da bösartige Parameter dauerhaft gespeichert werden und beim Start von Workern erneut analysiert werden, kann der Druck auf die Atome auch nach einem Neustart ohne eine aktive Verbindung des Angreifers wieder auftreten. Dieses Problem wurde in den Versionen 4.2.9 und 4.3.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.