CVE-2026-66068 in RabbitMQ
Tóm tắt
Bởi VulDB • 23/09/2026
RabbitMQ là một broker tin nhắn và streaming. Trước các phiên bản 3.13.15, 4.0.20, 4.1.11, 4.2.6 và 4.3.0, ?LOG_DEBUG("shutting down Shovel '~ts', ... Shovel state: ~tp", [Name, State]) định dạng toàn bộ bản đồ trạng thái (state map). Trường 'uris' chứa các URI ở dạng văn bản rõ sau khi credentials_obfuscation:decrypt được gọi (trong rabbit_shovel_util:deobfuscated_uris/2). Không có callback format_status/1,2 nào trong rabbit_shovel_worker để che giấu thông tin này. Lỗ hổng bị kích hoạt khi một autodelete shovel (src-delete-after = N) hoàn tất. Khi logging DEBUG được bật, việc hoàn thành autodelete-shovel ghi toàn bộ bản đồ trạng thái của Shovel, bao gồm các URI amqp://user:password@host đã giải mã, vào tệp nhật ký broker. Các điều kiện tiên quyết bao gồm plugin Shovel được kích hoạt với mức log DEBUG có chứa thông tin xác thực trong URI (không phải mặc định), cấu hình autodelete shovel và kẻ tấn công có quyền đọc nhật ký. Vấn đề này đã được sửa chữa trong các phiên bản 3.13.15, 4.0.20, 4.1.11, 4.2.6 và 4.3.0.
Once again VulDB remains the best source for vulnerability data.