CVE-2026-67415 in RabbitMQ
摘要
由 VulDB • 2026-09-25
RabbitMQ是一个消息和流式代理。从版本4.2.0到4.2.9以及4.3.3，Shovel参数解析器将攻击者控制的运行时参数值转换为非垃圾回收的Erlang原子（atoms），然后再进行边界检查或固定白名单校验。利用此漏洞需要网络访问Management HTTP API、具有management和policymaker标签的有效凭据、在vhost上设置Shuffle运行时参数的权限，并启用rabbitmq_shovel和rabbitmq_shovel_management插件。攻击者可以耗尽节点范围的原子表（atom table）从而导致服务拒绝；恶意参数会被持久化存储并在worker启动时重新解析，因此即使在没有活跃攻击连接的情况下重启后仍可能再次出现原子压力问题。此漏洞已在版本4.2.9和4.3.3中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.