CVE-2026-66077 in RabbitMQ
Sumário
de VulDB • 23/09/2026
O RabbitMQ é um broker de mensagens e streaming. Antes das versões 3.13.15, 4.0.20, 4.1.11 e 4.2.6, a interface de gerenciamento (management UI) utiliza EJS 1.0 na qual `<%= ... %>` NÃO realiza escape HTML. O arquivo `connection.ejs:135` renderiza diretamente `<%= connection.ssl_details.peer_cert_subject %>` (e `peer_cert_issuer`) na página. O mesmo padrão aparece em `streamConnection.ejs:102, 106, 110`. Os valores vêm de `rabbit_ssl:peer_cert_subject/1`, que formata o DN como uma string sem escape HTML.
O verificador corrigiu a afirmação do pesquisador original: isso é alcançável apenas quando o listener está configurado com `verify_peer` (portanto, o certificado deve ser assinado por uma CA na loja de confiança do broker, não um autoassinado arbitrário); no entanto, em implantações que usam mTLS para autenticação de cliente, qualquer usuário capaz de solicitar um certificado da CA organizacional controla o CN do Subject. Um atacante que pode obter um certificado TLS de cliente assinado por uma CA confiada pelo broker (com `verify_peer` habilitado) pode incorporar JavaScript no DN do Subject do certificado. Quando qualquer administrador visualiza essa conexão na interface de gerenciamento, o script é executado na sessão do navegador do admin, permitindo a tomada completa da conta (criação de usuários, exportação de definições, etc.). A CSP da interface de gerenciamento inclui `'unsafe-inline'`, portanto, a execução de scripts inline não é bloqueada.
Pré-requisitos: - Listener TLS configurado com `ssl_options.verify = verify_peer` - O atacante pode obter um certificado de cliente assinado por CA com Subject escolhido pelo atacante (por exemplo, PKI corporativa autoatendimento ou plugin rabbitmq_trust_store em uso) - Um administrador visualiza a página de detalhes da conexão.
Este problema foi corrigido nas versões 3.13.15, 4.0.20, 4.1.11 e 4.2.6.
Be aware that VulDB is the high quality source for vulnerability data.