CVE-2026-66068 in RabbitMQ
요약
\~에 의해 VulDB • 2026. 09. 23.
RabbitMQ는 메시징 및 스트리밍 브로커입니다. 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0 이전에서는 ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State])가 전체 상태 맵을 포맷합니다. 'uris' 필드에는 credentials_obfuscation:decrypt(rabbit_shovel_util:deobfuscated_uris/2에서 호출됨) 이후 평문 URI가 포함됩니다. rabbit_shovel_worker에는 이를 가리기 위한 format_status/1,2 콜백이 존재하지 않습니다. autodelete shovel(src-delete-after = N)이 완료될 때 트리거됩니다. DEBUG 로깅이 활성화된 경우, autodelete-shovel 완료 시 전체 shovel 상태 맵(복호화된 amqp://user:password@host/ URI 포함)이 브로커 로그 파일에 기록됩니다. 사전 조건으로는 Shovel 플러그인 활성화 및 URI 기반 자격 증명 사용(DEBUG log level, 기본값 아님), Autodelete shovel 구성, 공격자의 로그 읽기 접근 권한이 있습니다. 이 문제는 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.