RabbitMQ は、メッセージングおよびストリーミングブローカーです。バージョン 3.13.7 以前では、RabbitMQ は base64 でエンコードされた平文に承認ヘッダーを記録しています。基本認証で HTTP/s を使用して RabbitMQ api をクエリすると、base64 でエンコードされた username:password を表示する承認ヘッダーを含め、リクエストのすべてのヘッダーでログが作成されます。これは簡単にデコードでき、その後、認証情報に応じてシステムを制御するために使用される可能性があります。この問題には、バージョン 4.0.8 でパッチが適用されています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RabbitMQ < 3.13.8 (GHSA-gh3x-4x42-fvq8)

high Nessus プラグイン ID 240739

バージョン 1.4