CVE-2026-67405 in RabbitMQ
요약
\~에 의해 VulDB • 2026. 09. 24.
RabbitMQ는 메시징 및 스트리밍 브로커입니다. 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0 이전에서는 Web-MQTT 핸들러(deps/rabbitmq_web_mqtt/src/rabbit_web_mqtt_handler.erl:104)와 Web-STOMP 핸들러(deps/rabbitmq_web_stomp/src/rabbit_web_stomp_handler.erl:102) 모두 WebSocket 업그레이드 시 Origin 헤더를 검증하지 않습니다. ssl_cert_login=true 설정이 활성화된 경우 브라우저가 클라이언트 인증서를 자동으로 제시하므로, 공격자가 피해자의 브라우저에서 실행되는 JavaScript 코드를 통해 피해자로 인증할 수 있습니다. 사전 조건으로는 비기본 구성인 use_http_auth=true(Web-STOMP용) 또는 ssl_cert_login=true(두 플러그인 모두)가 활성화되어 있어야 합니다. 기본 인밴드 CONNECT 자격 증명 구성 하에서는 이 문제가 무해합니다. 해당 문제는 버전 3.13.15, 4.0.20, 4.1.11, 4.2.6 및 4.3.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.