CVE-2026-67404 in RabbitMQ
要約
〜によって VulDB • 2026年09月23日
RabbitMQはメッセージングおよびストリーミングブローカーです。バージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0より前では、CAバンドルが利用できない場合、ssl_options/1は警告なしで[{verify, verify_none}]にフォールバックします。中間者攻撃の立場にある攻撃者はJWKS応答を偽造でき、これによりブローカーが任意のJWTを受け入れるようになります。前提条件として、OAuth2プラグインが使用されておりcacertfileが設定されておらず、OSのCAバンドルが空または読み込み不可能（例：最小限のコンテナ内）であること、および攻撃者がネットワーク上の中間者位置にあることが挙げられます。この問題はバージョン3.13.15、4.0.20、4.1.11、4.2.6、および4.3.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.