CVE-2026-67409 in RabbitMQ
要約
〜によって VulDB • 2026年09月25日
RabbitMQはメッセージングおよびストリーミングブローカーです。バージョン3.13.0から4.3.3、4.2.9、4.1.14、4.0.23、および3.13.18までにおいて、「JWKS FetchがHTTPレスポンスステータスコードを無視し、署名キーの破棄により認証DoSを引き起こす」（CWE-252）という脆弱性が存在します。uaajwt.erlにおけるJWKS鍵取得メカニズムは、OAuth2プロバイダーのJWQSエンドポイントから署名キーを取得する際にHTTPレスポンスステータスコードを検証しません。4xxおよび5xxエラーを含む非200系のレスポンスが、成功したレスポンスと同じように処理されます。JWKSエンドポイントがkeysフィールドを欠いた有効なJSONボディを持つエラーレスポンスを返した場合、以前にキャッシュされていたすべての署名キーが破棄され、永続的な認証拒否（DoS）が発生します。
影響を受けるファイル: - deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, 行50-63 - deps/rabbitmqauthbackendoauth2/src/uaajwks.erl, 行5-7 - deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, 行98-107
バグ1: HTTPステータスコードが無視される (uaajwt.erl:50-63) Erlangのhttpcモジュールは {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}} を返します。パターン {ok, {_, _, JwksBody}} は、成功したHTTPトランザクションであればすべてに一致します。
永続的な認証DoS: キーが破棄されると、新しいJWKSリフレッシュが正常に行われるまで、すべてのユーザーに対するOAuth2/JWT認証が失敗します。
増幅効果: 攻撃者1名によって、RabbitMQ全体のすべての正当なOAuth2ユーザーのアクセスを拒否できます。この問題はバージョン4.3.3、4.2.9、4.1.14、4.0.23、および3.13.18で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.