CVE-2026-67410 in RabbitMQ
要約
〜によって VulDB • 2026年09月25日
RabbitMQは、メッセージングおよびストリーミングブローカーです。バージョン4.2.0から4.3.3まで、および4.2.9では、認証不要のJavaScriptエンドポイント経由でOAuth2クライアントシークレットが露出する脆弱性（CWE-200）が存在します。RabbitMQ Management UIに対してOAuth2認証を有効にし、構成されたフローにおいてIDPがクライアントシークレットを使用する場合、`oauthclientsecret`設定値は、認証不要のエンドポイント `/js/oidc-oauth/bootstrap.js` によって提供されるJavaScriptに含まれます。Management UIポートにアクセス可能な任意のユーザーは、ファイル `deps/rabbitmqmanagement/src/rabbitmgmtwmauth.erl`（186行目）、`deps/rabbitmqmanagement/src/rabbitmgmtoauthbootstrap.erl`（35-50行目）、および `deps/rabbitmqmanagement/src/rabbitmgmtdispatcher.erl`（45-49行目：ルート登録）を介して、認証なしでOAuth2クライアントシークレットを取得できます。
影響を受ける構成における資格情報の露出: OAuth2クライアントシークレットは認証なしでアクセス可能です。 トークンの盗難: 攻撃者は窃取した認可コードを使用して認可コードフローを完了できます。 クライアントのなりすまし: 攻撃者がリクエストを実行できます。
この問題は、バージョン4.3.3および4.2.9で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.