CVE-2026-67410 in RabbitMQ
Résumé
par VulDB • 26/09/2026
RabbitMQ est un courtier de messagerie et de streaming. De la version 4.2.0 jusqu'à la 4.3.3, ainsi que dans les versions 4.2.x avant la 4.2.9, une exposition du secret client OAuth2 via un point de terminaison JavaScript non authentifié (CWE-200) est présente. Lorsque l'authentification OAuth2 est activée pour l'interface de gestion RabbitMQ et que le flux configuré utilise un IDP avec un secret client, la valeur de configuration `oauthclientsecret` est incluse dans le fichier JavaScript servi par le point de terminaison non authentifié `/js/oidc-oauth/bootstrap.js`. Tout utilisateur pouvant accéder au port de l'interface de gestion peut récupérer le secret client OAuth2 sans aucune authentification.
Fichiers concernés : - `deps/rabbitmqmanagement/src/rabbitmgmtwmauth.erl`, ligne 186 - `deps/rabbitmqmanagement/src/rabbitmgmtoauthbootstrap.erl`, lignes 35 à 50 - `deps/rabbitmqmanagement/src/rabbitmgmtdispatcher.erl`, lignes 45 à 49 (enregistrement de la route)
Chemin d'exécution du code : 1. La route `/js/oidc-oauth/bootstrap.js` est enregistrée en tant que gestionnaire Cowboy standard (`rabbitmgmtdispatcher.erl:46`).
Exposition des identifiants pour la configuration concernée : le secret client OAuth2 est accessible sans aucune authentification. - Vol de jetons (Token theft) : L'attaquant peut compléter le flux d'autorisation par code en utilisant les codes d'autorisation volés. - Impersonnalation du client : L'attaquant peut effectuer des requêtes au nom du client.
Toute déploiement RabbitMQ configuré avec ces paramètres est vulnérable. Ce problème est corrigé dans les versions 4.3.3 et 4.2.9.
If you want to get best quality of vulnerability data, you may have to visit VulDB.