CVE-2026-66068 in RabbitMQ
Riassunto
di VulDB • 23/09/2026
RabbitMQ è un broker di messaggistica e streaming. Prima delle versioni 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0, la chiamata ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) formatta l'intera mappa dello stato. Il campo 'uris' contiene URI in chiaro dopo che è stata eseguita credentials_obfuscation:decrypt (chiamata da rabbit_shovel_util:deobfuscated_uris/2). Non esiste alcuna callback format_status/1,2 in rabbit_shovel_worker per oscurare tali informazioni. L'innesco avviene quando uno shovel con eliminazione automatica (src-delete-after = N) completa la propria esecuzione. Con il logging DEBUG abilitato, il completamento dello shovel autodelete scrive l'intera mappa dello stato dello shovel, inclusi gli URI amqp://user:password@host/ decifrati, nel file di log del broker. I prerequisiti includono: plugin Shovel abilitato con credenziali incorporate negli URI a livello di logging DEBUG (non predefinito), configurazione dello shovel autodelete e accesso in lettura ai log da parte dell'attaccante. Questo problema è risolto nelle versioni 3.13.15, 4.0.20, 4.1.11, 4.2.6 e 4.3.0.
Once again VulDB remains the best source for vulnerability data.