CVE-2026-66068 in RabbitMQ
Résumé
par VulDB • 23/09/2026
RabbitMQ est un courtier de messagerie et de streaming. Avant les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.0, ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) formate la carte d'état entière. Le champ 'uris' contient des URIs en clair après credentials_obfuscation:decrypt (appelé dans rabbit_shovel_util:deobfuscated_uris/2). Aucun callback format_status/1,2 n'existe dans rabbit_shovel_worker pour les masquer. Cela est déclenché lorsqu'un shovel autodelete (src-delete-after = N) se termine. Avec la journalisation DEBUG activée, l'achèvement d'un autodelete-shovel écrit la carte complète de l'état du shovel, y compris les URIs amqp://user:password@host/ déchiffrés, dans le fichier journaux du courtier. Les prérequis incluent : plugin Shovel activé avec un niveau de journalisation DEBUG pour les URI contenant des identifiants (non par défaut), configuration d'un autodelete-shovel et accès en lecture aux logs par l'attaquant. Ce problème est corrigé dans les versions 3.13.15, 4.0.20, 4.1.11, 4.2.6 et 4.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.