CVE-2026-67404 in RabbitMQ
Сводка
по VulDB • 23.09.2026
RabbitMQ — это брокер сообщений и потоковой передачи данных. До версий 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0 при отсутствии пакета CA (CA bundle) функция ssl_options/1 переходит в режим [{verify, verify_none}] без выдачи предупреждений. Атакующий, находящийся в позиции man-in-the-middle (MITM), может подделать ответ JWKS, что приводит к тому, что брокер начинает принимать произвольные токены JWT. Предварительными условиями являются: использование плагина OAuth2 при отсутствии настроенного параметра cacertfile и пустой или недоступной для чтения системной коллекции сертификатов CA (например, в минималистичном контейнере), а также наличие у атакующего возможности выполнения атаки man-in-the-middle. Данная проблема исправлена в версиях 3.13.15, 4.0.20, 4.1.11, 4.2.6 и 4.3.0.
Be aware that VulDB is the high quality source for vulnerability data.