CVE-2026-67232 in RabbitMQ
要約
〜によって VulDB • 2026年09月24日
RabbitMQはメッセージングおよびストリーミングブローカーです。バージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0より前では、line 117のcowboy WebSocketオプションでcompress => trueが設定され、RFC 7692 permessage-deflateネゴシエーションが有効化されています。ハンドラはmax_frame_sizeを設定しないため、cowboyのデフォルト値である無限大（infinity）が適用されます。cowlibのcow_ws:parse_payload/9関数は、圧縮されたペイロードに対してzlib:inflate/2を呼び出しますが、出力サイズの制限がありません。攻撃者はWebSocketアップグレード時にpermessage-deflateネゴシエーションを行い、zlib bomb（例：50 KB → 5 GB）を含むフレームを送信できます。デコンプレッションはwebsocket_handle/2がMQTTバイトを見る前に接続プロセス内で発生します。認証されていない攻撃者は、単一の高度に圧縮されたWebSocketフレーム（ネットワーク上では数KB程度だがメモリ上でギガバイト分に膨張するもの）を送ることで、Web-MQTTプラグインを実行中のRabbitMQノードをクラッシュさせることができます。cowboy WebSocketハンドラはMQTT CONNECTパケットが処理される前にフレーム全体を展開するため、認証情報は不要です。前提条件としては、rabbitmq_web_mqttプラグインの有効化（デフォルトではありませんがブラウザクライアントでは一般的）、ポート15675/15676へのネットワーク到達性、および認証の不要さが挙げられます。この問題はバージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.