CVE-2026-67409 in RabbitMQ
Resumen
por VulDB • 2026-09-25
RabbitMQ es un corredor de mensajería y streaming. Desde la versión 3.13.0 hasta las versiones 4.3.3, 4.2.9, 4.1.14, 4.0.23 y 3.13.18, el mecanismo JWKS Fetch ignora el código de estado HTTP; la destrucción de la clave de firma provoca una Denegación de Servicio (DoS) en la autenticación (CWE-252). El mecanismo de obtención de claves JWKS en uaajwt.erl no valida el código de estado de respuesta HTTP al descargar las claves de firma desde el punto final JWKS del proveedor OAuth2. Las respuestas con códigos distintos a 200 (incluidos los errores 4xx y 5xx) se procesan idénticamente a las respuestas exitosas. Cuando el punto final JWKS devuelve una respuesta de error con un cuerpo JSON válido que carece del campo "keys", todas las claves de firma previamente en caché son destruidas, lo que provoca una denegación persistente de autenticación.
Archivos: - deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, líneas 50-63 - deps/rabbitmqauthbackendoauth2/src/uaajwks.erl, líneas 5-7 - deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, líneas 98-107
Bug 1: Código de estado HTTP ignorado (uaajwt.erl:50-63): El módulo httpc de Erlang devuelve {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}}. El patrón {ok, {, , JwksBody}} coincide con CUALQUIER transacción HTTP exitosa.
Denegación persistente de servicio (DoS) en la autenticación: Una vez que las claves son destruidas, TODA la autenticación OAuth2/JWT falla para todos los usuarios hasta que se produce una nueva actualización exitosa del JWKS.
Amplificación: Un único atacante puede denegar el acceso a todos los usuarios legítimos de OAuth2 en todo RabbitMQ. Este problema está corregido en las versiones 4.3.3, 4.2.9, 4.1.14, 4.0.23 y 3.13.18.
Be aware that VulDB is the high quality source for vulnerability data.