リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1334-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.18より前の rabbitmq-server では、「rabbitmq_federation_management」プラグインを介して RabbitMQ 管理 UI にフェデレーションリンクが表示されると、そのコンシューマータグが適切な <script> タグサニタイズなしでレンダリングされていました。これにより、ページのコンテキストで JavaScript コードが実行される可能性があります。これを行うには、ユーザーがサインインし、昇格した権限 (フェデレーションのアップストリームとポリシーを管理する) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.18 でパッチされています。回避策として、「rabbitmq_federation_management」プラグインを無効にし、代わりに [CLI ツール] (https://www.rabbitmq.com/cli.html) を使用してください。(CVE-2021-32719)

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    (CVE-2021-22116)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「<script>」タグサニタイズなしで確認メッセージでユーザーの問題がレンダリングされ、ページのコンテキストで JavaScript コードが実行される可能性があります。これを発生させるには、ユーザーがサインインし、昇格した権限 (他のユーザー管理) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.17 でパッチされています。回避策として、「rabbitmq_management」プラグインを無効にし、管理操作には CLI ツールを使用し、メトリクスとモニタリングには Prometheus と Grafana を使用してください。(CVE-2021-32718)

バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「

リモートの SUSE Linux SLES15ホストには、SUSE-SU-2021:3254-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    (CVE-2021-22116)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「<script>」タグサニタイズなしで確認メッセージでユーザーの問題がレンダリングされ、ページのコンテキストで JavaScript コードが実行される可能性があります。これを発生させるには、ユーザーがサインインし、昇格した権限 (他のユーザー管理) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.17 でパッチされています。回避策として、「rabbitmq_management」プラグインを無効にし、管理操作には CLI ツールを使用し、メトリクスとモニタリングには Prometheus と Grafana を使用してください。(CVE-2021-32718)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.18より前の rabbitmq-server では、「rabbitmq_federation_management」プラグインを介して RabbitMQ 管理 UI にフェデレーションリンクが表示されると、そのコンシューマータグが適切な <script> タグサニタイズなしでレンダリングされていました。これにより、ページのコンテキストで JavaScript コードが実行される可能性があります。これを行うには、ユーザーがサインインし、昇格した権限 (フェデレーションのアップストリームとポリシーを管理する) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.18 でパッチされています。回避策として、「rabbitmq_federation_management」プラグインを無効にし、代わりに [CLI ツール] (https://www.rabbitmq.com/cli.html) を使用してください。(CVE-2021-32719)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:3325-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.18より前の rabbitmq-server では、「rabbitmq_federation_management」プラグインを介して RabbitMQ 管理 UI にフェデレーションリンクが表示されると、そのコンシューマータグが適切な <script> タグサニタイズなしでレンダリングされていました。これにより、ページのコンテキストで JavaScript コードが実行される可能性があります。これを行うには、ユーザーがサインインし、昇格した権限 (フェデレーションのアップストリームとポリシーを管理する) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.18 でパッチされています。回避策として、「rabbitmq_federation_management」プラグインを無効にし、代わりに [CLI ツール] (https://www.rabbitmq.com/cli.html) を使用してください。(CVE-2021-32719)

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    (CVE-2021-22116)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「<script>」タグサニタイズなしで確認メッセージでユーザーの問題がレンダリングされ、ページのコンテキストで JavaScript コードが実行される可能性があります。これを発生させるには、ユーザーがサインインし、昇格した権限 (他のユーザー管理) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.17 でパッチされています。回避策として、「rabbitmq_management」プラグインを無効にし、管理操作には CLI ツールを使用し、メトリクスとモニタリングには Prometheus と Grafana を使用してください。(CVE-2021-32718)

バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「

リモートの SUSE Linux SLES15ホストには、SUSE-SU-2021:3325-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    (CVE-2021-22116)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.17より前の rabbitmq-server では、管理 UI を介して新しいユーザーが追加されると、適切な「<script>」タグサニタイズなしで確認メッセージでユーザーの問題がレンダリングされ、ページのコンテキストで JavaScript コードが実行される可能性があります。これを発生させるには、ユーザーがサインインし、昇格した権限 (他のユーザー管理) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.17 でパッチされています。回避策として、「rabbitmq_management」プラグインを無効にし、管理操作には CLI ツールを使用し、メトリクスとモニタリングには Prometheus と Grafana を使用してください。(CVE-2021-32718)

  - RabbitMQ は、マルチプロトコルメッセージングブローカーです。バージョン 3.8.18より前の rabbitmq-server では、「rabbitmq_federation_management」プラグインを介して RabbitMQ 管理 UI にフェデレーションリンクが表示されると、そのコンシューマータグが適切な <script> タグサニタイズなしでレンダリングされていました。これにより、ページのコンテキストで JavaScript コードが実行される可能性があります。これを行うには、ユーザーがサインインし、昇格した権限 (フェデレーションのアップストリームとポリシーを管理する) を持っている必要があります。この脆弱性は、RabbitMQ 3.8.18 でパッチされています。回避策として、「rabbitmq_federation_management」プラグインを無効にし、代わりに [CLI ツール] (https://www.rabbitmq.com/cli.html) を使用してください。(CVE-2021-32719)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 9ホストには、dla-2710のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -これらのPivotal RabbitMQバージョンで問題が発見されました：すべての3.4.xのバージョン、すべての3.5.xのバージョン、および 3.6.9より前の3.6.xのバージョン。さらにこれらのPCF版のRabbitMQのバージョン：すべての1.5.xのバージョン、1.6.18より前の1.6.xのバージョン、および1.7.15より前の1.7.xのバージョン。RabbitMQ管理UIのいくつかのフォームは、XSS攻撃に脆弱です。（CVE-2017-4965、CVE-2017-4967）

  -これらのPivotal RabbitMQバージョンで問題が発見されました：すべての3.4.xのバージョン、すべての3.5.xのバージョン、および 3.6.9より前の3.6.xのバージョン。さらにこれらのPCF版のRabbitMQのバージョン：すべての1.5.xのバージョン、1.6.18より前の1.6.xのバージョン、および1.7.15より前の1.7.xのバージョン。RabbitMQ管理UIは、サインインしたユーザーの認証情報を期限なくブラウザーのローカルストレージに保存するため、連鎖攻撃を使用してそれらを取得することが可能になります。（CVE-2017-4966）

  -Pivotal RabbitMQ、v3.7.18より前のバージョン、およびPCF版RabbitMQ、 1.15.13より前のバージョン1.15.x、 1.16.6より前のバージョン1.16.x、および1.17.3より前のバージョン1.17.xには、仮想ホスト制限ページおよびフェデレーション管理UIという2つのコンポーネントが含まれており、ユーザー入力を適切にサニタイズしません。管理者アクセス権を持つ認証されたリモートの悪意のあるユーザーが、クロスサイトスクリプティング攻撃を仕掛け、仮想ホストへのアクセス権とポリシー管理情報へのアクセス権を取得する可能性があります。（CVE-2019-11281）

  - Pivotal RabbitMQ、3.7.21より前のバージョン3.7.xおよび3.8.1より前の3.8.x、そしてRabbitMQ for Pivotal Platform、1.16.7より前の1.16.xバージョンおよび1.17.4より前の1.17.xバージョンには、サービス拒否の攻撃に対して脆弱なWeb管理プラグインが含まれています。X-Reason HTTPヘッダーが悪用されて、悪意のあるErlang書式文字列が挿入され、ヒープが拡張および消費され、その結果、サーバーがクラッシュする可能性があります。（CVE-2019-11287）

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    （CVE-2021-22116）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

3.8.16より前のPivotal RabbitMQバージョン3.8.xは、不適切な入力検証によるサービス拒否（DoS）の脆弱性の影響を受けます。リモート攻撃者これを悪用し、悪意のあるAMQPメッセージを送信し、クラッシュを引き起こす可能性があります。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10/21.04ホストには、USN-5004-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Pivotal RabbitMQ、3.7.21より前のバージョン3.7.xおよび3.8.1より前の3.8.x、そしてRabbitMQ for Pivotal Platform、1.16.7より前の1.16.xバージョンおよび1.17.4より前の1.17.xバージョンには、サービス拒否の攻撃に対して脆弱なWeb管理プラグインが含まれています。X-Reason HTTPヘッダーが悪用されて、悪意のあるErlang書式文字列が挿入され、ヒープが拡張および消費され、その結果、サーバーがクラッシュする可能性があります。（CVE-2019-11287）

  - 3.8.16より前のRabbitMQのすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるユーザーがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。
    （CVE-2021-22116）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Synopsys Cybersecurity Research CenterのJonathon Knudsenによる報告：

3.8.16より前のすべてのバージョンは、AMQP 1.0クライアント接続エンドポイントの不適切な入力検証によるサービス拒否の脆弱性の影響を受けやすくなっています。悪意のあるクライアントがこの脆弱性を悪用し、AMQP 1.0プラグインを有効にしているターゲットのRabbitMQインスタンスに悪意のあるAMQPメッセージを送信する可能性があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
153874	openSUSE 15 セキュリティ更新 : rabbitmq-server(openSUSE-SU-2021:1334-1)	Nessus	SuSE Local Security Checks	2021/10/5	2023/11/29	medium
153798	SUSE SLES15 セキュリティ更新プログラム : rabbitmq-server(SUSE-SU-2021:3254-1)	Nessus	SuSE Local Security Checks	2021/9/30	2023/7/13	medium
153968	openSUSE 15 セキュリティ更新 : rabbitmq-server(openSUSE-SU-2021:3325-1)	Nessus	SuSE Local Security Checks	2021/10/10	2023/11/28	medium
153969	SUSE SLES15 セキュリティ更新: rabbitmq-server(SUSE-SU-2021:3325-1)	Nessus	SuSE Local Security Checks	2021/10/10	2023/7/13	medium
152075	Debian DLA-2710-1：rabbitmq-server - LTSセキュリティ更新	Nessus	Debian Local Security Checks	2021/7/26	2023/12/6	high
149704	Pivotal RabbitMQ 3.8.x < 3.8.16 DoS	Nessus	Misc.	2021/5/19	2024/5/31	high
150995	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS : RabbitMQの脆弱性（USN-5004-1）	Nessus	Ubuntu Local Security Checks	2021/6/24	2023/10/16	high
151121	FreeBSD：RabbitMQ -- 不適切な入力検証によるサービス拒否（7003b62d-7252-46ff-a9df-1b1900f1e65b）	Nessus	FreeBSD Local Security Checks	2021/6/29	2023/12/12	high

検出

プラグインの検索

medium

medium

medium

medium

high

high

high

high