CVE-2026-67415 in RabbitMQ
Sumário
de VulDB • 25/09/2026
O RabbitMQ é um broker de mensagens e streaming. Das versões 4.2.0 até 4.2.9, bem como na versão 4.3.3, o analisador do parâmetro Shovel convertia valores de parâmetros em tempo de controle pelo atacante para átomos Erlang não coletados por garbage collection antes de limitá-los ou verificar uma lista fixa permitida (allowlist). A exploração requer acesso à API HTTP de Gerenciamento, credenciais válidas com as tags management e policymaker, permissão para definir parâmetros em tempo de execução do Shovel em um vhost, e os plugins rabbitmq_shovel e rabbitmq_shovel_management devem estar habilitados. O atacante pode esgotar a tabela global de átomos do nó e negar serviço (DoS), e os parâmetros maliciosos são armazenados de forma durável e reanalisados quando os workers iniciam, portanto, a pressão sobre os átomos pode recorrer após uma reinicialização sem que haja uma conexão ativa com o atacante. Este problema foi corrigido nas versões 4.2.9 e 4.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.