CVE-2026-67409 in RabbitMQ
요약
\~에 의해 VulDB • 2026. 09. 25.
RabbitMQ는 메시징 및 스트리밍 브로커입니다. 버전 3.13.0부터 4.3.3, 4.2.9, 4.1.14, 4.0.23 및 3.13.18까지의 경우, JWKS Fetch가 HTTP 응답 상태 코드를 무시하여 서명 키 파괴로 인해 인증 DoS(CWE-252)가 발생합니다. uaajwt.erl 내의 JWKS 키 가져오기 메커니즘은 OAuth2 제공업체의 JWCS 엔드포인트에서 서명 키를 다운로드할 때 HTTP 응답 상태 코드를 검증하지 않습니다. 4xx 및 5xx 오류를 포함한 비(非)-200 응답이 성공적인 응답과 동일하게 처리됩니다. JWKS 엔드포인트가 keys 필드가 없는 유효한 JSON 본문을 가진 오류 응답을 반환하면, 이전에 캐시된 모든 서명 키가 파괴되어 지속적인 인증 거부 상태에 빠집니다.
관련 파일: - deps/rabbitmqauthbackendoauth2/src/uaajwt.erl, 라인 50-63 - deps/rabbitmqauthbackendoauth2/src/uaajwks.erl, 라인 5-7 - deps/rabbitmqauthbackendoauth2/src/rabbitoauth2provider.erl, 라인 98-107
버그 1: HTTP 상태 코드 무시 (uaajwt.erl:50-63): Erlang httpc 모듈은 {ok, {{HttpVersion, StatusCode, ReasonPhrase}, Headers, Body}}를 반환합니다. 패턴 {ok, {, , JwksBody}}는 모든 성공적인 HTTP 트랜잭션과 일치합니다.
지속적 인증 DoS: 키가 파괴되면 새로운 성공적인 JWCS 갱신이 발생할 때까지 모든 사용자의 OAuth2/JWT 인증이 모두 실패합니다.
증폭 효과: 단일 공격자가 전체 RabbitMQ 환경에 있는 모든 정당한 OAuth2 사용자의 접근을 거부할 수 있습니다. 이 문제는 버전 4.3.3, 4.2.9, 4.1.14, 4.0.23 및 3.13.18에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.