Auf den Punkt: CVE-2026-57219 exponiert OAuth-Client-Secrets über einen nicht geschützten Endpunkt und ermöglicht die komplette Übernahme des RabbitMQ-Brokers.
Zwei Sicherheitslücken in RabbitMQ gefährden Millionen von Deployments weltweit. Sie ermöglichen unauthentifizierten Angreifern, OAuth-Client-Secrets auszulesen und damit vollständige Kontrolle über die Messaging-Infrastruktur zu erlangen.
RabbitMQ-Versionen ab 3.13.0 (Anfang 2024) sind von zwei Access-Control-Schwachstellen betroffen, die von Miggo Security entdeckt wurden. Die Message Broker wird über 15 Millionen Mal pro Jahr heruntergeladen und verwaltet kritische Datenströme in modernen Anwendungen — Orders, Zahlungen, Authentifizierungsereignisse und interne Benachrichtigungen. Die Patches stehen in den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 bereit.
Die kritischere Lücke CVE-2026-57219 (CVSS 8,7) basiert auf einem veralteten Management-Endpunkt „GET/api/auth“, der die OAuth-Konfiguration inklusive des Client-Secrets ohne Authentifizierung an jeden Abfragenden zurückgab. Angreifer mit Netzwerkzugriff auf das Management-Interface können das Secret auslesen und es gegen einen Administrator-Token eintauschen — bei Deployments mit confidential OAuth Clients (z.B. Microsoft Entra ID, Auth0, Keycloak, UAA) führt das zur vollständigen Broker-Übernahme. RabbitMQ behebt das Problem durch Entfernung des obsoleten Endpunkts und Umstellung auf einen authentifizierten Bootstrap-Mechanismus, der das Client-Secret nicht über HTTP exponiert.
Die zweite Lücke CVE-2026-57221 ist ein Authorization Bypass bei passiven Queue- und Exchange-Declarations. Nutzer mit minimal privilegierten Accounts können feststellen, welche Queues und Exchanges existieren, und deren Metadaten wie Nachrichtenzähler und aktive Consumer auslesen. Das exponiert keine Nachrichteninhalte, ermöglicht aber Reconnaissance in Shared-Tenancy-Umgebungen. Der Fix erzwingt dieselben Autorisierungsprüfungen für passive Declarations wie für andere Operationen.
Miggo empfiehlt sofortiges Update, Rotation exponierter OAuth-Secrets nach dem Patch und Isolation des Management-Interface von untrusted Networks. Für CVE-2026-57221 gibt es keinen WAF-Workaround; Tenants sollten auf separate Virtual Hosts verteilt werden, bis das Patching abgeschlossen ist.
Quelle: www.csoonline.com · Erschienen 13. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.