RabbitMQ 4.1.x < 4.1.11 / 4.2.x < 4.2.9 / 4.3.x < 4.3.3 Super Stream バインディングキーのサービス拒否

high Nessus プラグイン ID 362551

Language:

概要

リモートホストにインストールされているRabbitMQは、サービス拒否の脆弱性の影響を受けます。

説明

リモートホストにインストールされているRabbitMQのバージョンは、4.1.11より前の4.1.x、4.2.9より前の4.2.x、または4.3.3より前の4.3.xです。したがって、サービス拒否の脆弱性の影響を受けます。

- スーパーストリーム作成用のストリーム管理 HTTP API ハンドラー(PUT /api/stream/super-streams/{vhost}/{name})は、ユーザーのリソース権限をチェックする前に、クライアント指定の binding-keys フィールドからストリームの完全なリストを作成します。vhost へのアクセス権はあるものの、構成、書き込み、または読み取りの権限を持たない認証された管理ユーザーが、このため、大量のメモリ割り当てを強制し、メモリ制限下で実行しているノードをクラッシュさせる可能性があります。
(CVE-2026-67408)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。