Auf den Punkt: Zwei Zugriffskontroll-Schwachstellen in RabbitMQ exponieren OAuth-Client-Secrets und ermöglichen Reconnaissance über Queue-Metadaten; Patches sind für die Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 verfügbar.
RabbitMQ hat zwei Zugriffskontroll-Schwachstellen behoben, die das weit verbreitete Open-Source-Message-Broker-System gefährden. Die Lücken ermöglichen es Angreifern, OAuth-Secrets zu stehlen und in kritischen Szenarien die vollständige Kontrolle über die Messaging-Infrastruktur zu übernehmen.
Miggo Security hat zwei kritische Sicherheitslücken im RabbitMQ-Nachrichtensystem entdeckt und gemeldet. RabbitMQ wird weltweit über 15 Millionen Mal jährlich heruntergeladen und dient als zentrale Infrastrukturkomponente für den Datentransport zwischen Microservices in Unternehmensanwendungen – von Bestellsystemen über Zahlungsabwicklung bis hin zu Authentifizierungsereignissen.
Die schwerwiegendere Schwachstelle trägt die Bezeichnung CVE-2026-57219 und wurde mit einem CVSS-Wert von 8,7 bewertet. Sie resultiert aus einem veralteten Management-Endpoint „GET /api/auth“, der das OAuth-Client-Secret des Brokers ohne Authentifizierung an jeden anfragenden Benutzer zurückgab. In Produktionsumgebungen, die vertrauensvolle OAuth-Clients mit Anbietern wie Microsoft Entra ID, Auth0, Keycloak oder UAA nutzen, könnte ein Angreifer das kompromittierte Secret dazu verwenden, sich als Administrator zu authentifizieren und vollständige Kontrolle über den Broker zu erlangen. Mit solcher Kontrolle könnten Nachrichten zugegriffen oder manipuliert, neue Benutzer erstellt und die Broker-Konfiguration verändert werden. RabbitMQ hat das Problem durch Entfernen des veralteten Endpoints und Umstellung auf einen authentifizierten Bootstrap-Mechanismus behoben, der das Client-Secret nicht mehr über HTTP übermittelt. Die Patches sind in den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 verfügbar.
Die zweite Lücke, CVE-2026-57221, ist ein Autorisierungs-Bypass bei passiven Queue- und Exchange-Deklarationsoperationen. Während ein gültiger Zugang erforderlich ist, werden auch Konten ohne zugewiesene Berechtigungen nicht überprüft. Das ermöglicht es Angreifern, zu ermitteln, ob spezifische Queues und Exchanges existieren, sowie Metadaten wie Nachrichtenzählstände und aktive Consumer auszulesen. Diese Informationen können in geteilten Umgebungen zu Aufklärung über Anwendungstopologien, Workload-Aktivitäten und anderen Tenants führen, die sich einen Virtual Host teilen. RabbitMQ hat diesen Fehler behoben, indem passive Deklarationen nun dieselben Autorisierungsprüfungen wie andere Operationen durchlaufen. Da keine WAF-Mitigation oder Konfigurationsworkaround existiert, werden Organisationen empfohlen, sofort zu patchen und bis zur Verfügung geeigneter Patches Tenants in separate Virtual Hosts zu isolieren.
Miggo gab an, dass die Anfälligkeit durch seine VulnHunter-Plattform autonomer Sicherheitsforschung identifiziert wurde, bevor sie durch das interne Sicherheitsteam validiert und an die RabbitMQ-Betreuer bei Broadcoms Tanzu-Division gemeldet wurde. Die Maintainer bestätigten die Anfälligkeit und veröffentlichten Patches. Die Lücken betreffen RabbitMQ-Versionen ab 3.13.0 aus dem frühen 2024.
Quelle: www.csoonline.com · Erschienen 13. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.