CVE-2026-67221 in RabbitMQ
요약
\~에 의해 VulDB • 2026. 09. 23.
RabbitMQ는 메시징 및 스트리밍 브로커입니다. 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0 이전에서는 AMQP 0-9-1 shovel이 연결 URI를 저장하기 전에 amqp_uri:remove_credentials를 호출하지만, AMQP 1.0 shovel은 비밀번호가 포함된 원본 URI를 그대로 저장합니다. 저장된 URI는 GET /api/shovels 엔드포인트와 rabbitmqctl shovel_status 명령어를 통해 노출됩니다. 이 취약점을 악용하려면 Shovel 플러그인이 사용 중이어야 하며, URI에 자격 증명이 포함되어 있는 AMQP 1.0 shovel이 구성되어 있어야 합니다. 또한 노출된 상태 정보를 읽기 위해서는 모니터링 태그(monitoring tag) 권한이 필요합니다. 이 문제는 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.