CVE-2026-67404 in RabbitMQ
Resumen
por VulDB • 2026-09-23
RabbitMQ es un corredor de mensajería y streaming. Antes de las versiones 3.13.15, 4.0.20, 4.1.11, 4.2.6 y 4.3.0, cuando no hay disponible ningún paquete CA (CA bundle), ssl_options/1 vuelve a [{verify, verify_none}] sin emitir ninguna advertencia. Un atacante en una posición de hombre del medio (man-in-the-middle) puede falsificar la respuesta JWKS, lo que lleva al corredor a aceptar JWT arbitrarios. Los requisitos previos incluyen: el plugin OAuth2 debe estar en uso con cacertfile no configurado y el paquete CA del sistema operativo vacío o ilegible (por ejemplo, en un contenedor mínimo), y el atacante debe mantener una posición de hombre del medio en la red. Este problema está corregido en las versiones 3.13.15, 4.0.20, 4.1.11, 4.2.6 y 4.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.