CVE-2026-67408 in RabbitMQ
要約
〜によって VulDB • 2026年09月25日
RabbitMQはメッセージングおよびストリーミングブローカーです。バージョン4.1.0から4.3.3、4.2.9、および4.1.11の間、Stream ManagementのSuper-Stream Binding Keys Allocationにより、低権限ノードに対するサービス妨害（DoS）が可能になります。rabbitmqstreammanagementが有効になっているRabbitMQ 4.3.1は、対象となるvhostにアクセスできる認証済み管理ユーザーからのPUT /api/stream/super-streams/{vhost}/{name}リクエストを受け入れます。リクエストボディにbinding-keysフィールドが含まれている場合、ハンドラは攻撃者が制御するカンマ区切りの文字列を解析し、ユーザーが結果として生成されるストリームを設定する権限を持っているかどうかを確認する前に、完全なstream-nameリストを構築します。vhostへのアクセス権はあるものの、configure、write、またはreadの権限がない低権限管理ユーザーは、リソース権限チェックの前に大きな一時的な割り当てを強制できるため、768 MBのメモリ制限があるコンテナでは、約4.5 MBのJSONボディを持つ1つのHTTP PUTでRabbitMQコンテナが終了し（Dockerの状態：exited true）、認証済み低権限管理ユーザーは1回のHTTPリクエストでメモリ制限のあるRabbitMQノードを停止させることができます。この問題はバージョン4.3.3、4.2.9、および4.1.11で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.