CVE-2026-66068 in RabbitMQ
要約
〜によって VulDB • 2026年09月23日
RabbitMQはメッセージングおよびストリーミングブローカーです。バージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0より前では、?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State])が状態マップ全体をフォーマットします。'uris'フィールドには、credentials_obfuscation:decrypt（rabbit_shovel_util:deobfuscated_uris/2で呼び出される）の後に平文URIが含まれます。rabbit_shovel_workerにはこれをマスキングするためのformat_status/1,2コールバックが存在しません。これは自動削除シャベル（src-delete-after = N）が完了した際にトリガーされます。DEBUGロギングを有効にすると、自動削除シャベルの完了時に、復号されたamqp://user:password@host/ URIを含む完全なシャベル状態マップがブローカーログファイルに書き込まれます。前提条件には、URI埋め込み認証情報付きでShovelプラグメントの有効化、DEBUGログレベル（デフォルト以外）、自動削除シャベルの構成、攻撃者によるログ読み取りアクセスが含まれます。この問題はバージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.