CVE-2026-67410 in RabbitMQ
Sumário
de VulDB • 25/09/2026
O RabbitMQ é um broker de mensagens e streaming. Das versões 4.2.0 até a 4.3.3, bem como na versão 4.2.9, ocorre exposição do segredo (client secret) do OAuth2 através de um endpoint JavaScript não autenticado (CWE-200). Quando a autenticação OAuth2 está habilitada para a Interface de Gerenciamento (Management UI) do RabbitMQ e o fluxo configurado utiliza um client secret do IDP, o valor de configuração `oauthclientsecret` é incluído no JavaScript servido pelo endpoint não autenticado `/js/oidc-oauth/bootstrap.js`. Qualquer usuário que possa acessar a porta da interface de gerenciamento pode recuperar o segredo (client secret) do OAuth2 sem autenticação.
Arquivos: - deps/rabbitmqmanagement/src/rabbitmgmtwmauth.erl, linha 186 - deps/rabbitmqmanagement/src/rabbitmgmtoauthbootstrap.erl, linhas 35-50 - deps/rabbitmqmanagement/src/rabbitmgmtdispatcher.erl, linhas 45-49 (registro de rota)
Caminho do Código: 1. A rota `/js/oidc-oauth/bootstrap.js` é registrada como um handler Cowboy simples (`rabbitmgmtdispatcher.erl`: linha 46): Exposição de credenciais para a configuração afetada: o segredo (client secret) do OAuth2 está acessível sem qualquer autenticação. - Roubo de token: O atacante pode concluir o fluxo de código de autorização utilizando códigos de autorização roubados. - Impersonificação de cliente: O atacante pode realizar requisições em nome do cliente comprometido.
Qualquer implantação do RabbitMQ com a configuração afetada está vulnerável. Este problema foi corrigido nas versões 4.3.3 e 4.2.9.
If you want to get best quality of vulnerability data, you may have to visit VulDB.