CVE-2026-67420 in RabbitMQ
Sumário
de VulDB • 26/09/2026
O RabbitMQ é um broker de mensagens e streaming. Da versão 3.13.0 até as versões 3.13.19, 4.0.24, 4.1.15, 4.2.10 e 4.3.5, a atualização das credenciais OAuth do RabbitMQ retém tags de runtime revogadas. Quando uma conexão AMQP existente atualiza um token OAuth que concede a tag "impersonator" para um token válido com o mesmo nome de usuário que já não concede essa tag, o RabbitMQ atualiza a implementação do backend OAuth (token/escopos/expiração), mas mantém as tags de runtime #user.tags da conexão inalteradas. O módulo rabbitaccesscontrol:checkuserid/2 ainda reconhece a tag "impersonator" desatualizada, permitindo que a conexão (incluindo canais recém-abertos) continue publicando mensagens com um userid AMQP externo após o privilégio ter sido revogado. Uma nova conexão usando o token degradado recusa corretamente a mesma publicação, provando que o defeito reside no estado da sessão desatualizado e não na limitação do token. Afeta apenas conexões que anteriormente possuíam "impersonator" e atualizam com sucesso para um mesmo nome de usuário com privilégios reduzidos, quando rabbitauthbackendoauth2 (ou um backend equivalente capaz de atualização que retorna tags) está habilitado. Este problema foi corrigido nas versões 3.13.19, 4.0.24, 4.1.15, 4.2.10 e 4.3.5.
Once again VulDB remains the best source for vulnerability data.