リモートの SUSE Linux SLES15ホストには、SUSE-SU-2021:3254-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    (CVE-2021-22116)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「<script>」タグサニタイズなしで確認メッセージでユーザーの問題がレンダリングされ、ページのコンテキストで JavaScript コードが実行される可能性があります。これを発生させるには、ユーザーがサインインし、昇格した権限 (他のユーザー管理) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.17 でパッチされています。回避策として、「rabbitmq_management」プラグインを無効にし、管理操作には CLI ツールを使用し、メトリクスとモニタリングには Prometheus と Grafana を使用してください。(CVE-2021-32718)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.18より前の rabbitmq-server では、「rabbitmq_federation_management」プラグインを介して RabbitMQ 管理 UI にフェデレーションリンクが表示されると、そのコンシューマータグが適切な <script> タグサニタイズなしでレンダリングされていました。これにより、ページのコンテキストで JavaScript コードが実行される可能性があります。これを行うには、ユーザーがサインインし、昇格した権限 (フェデレーションのアップストリームとポリシーを管理する) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.18 でパッチされています。回避策として、「rabbitmq_federation_management」プラグインを無効にし、代わりに [CLI ツール] (https://www.rabbitmq.com/cli.html) を使用してください。(CVE-2021-32719)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 セキュリティ更新プログラム : rabbitmq-server(SUSE-SU-2021:3254-1)

medium Nessus プラグイン ID 153798

バージョン 1.10

バージョン 1.9

バージョン 1.8

バージョン 1.7

バージョン 1.10 Jun 26, 2026, 4:08 PM Plugin metadata Plugin Feed: 202606261608
バージョン 1.9 May 12, 2025, 5:40 PM IAVM reference Plugin Feed: 202505121740
バージョン 1.8 Jul 14, 2023, 5:13 AM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") Plugin metadata Plugin Feed: 202307140513
バージョン 1.7 Jul 12, 2023, 5:37 PM Detection Plugin Feed: 202307121737