Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- RabbitMQ
- Soort software
- virtualisatie
- Getroffen versies
- RabbitMQ vanaf 4.2.0 tot 4.2.9, vanaf 4.3.0 tot 4.3.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- RabbitMQ 4.2.9
- RabbitMQ 4.3.3
- CVE gepubliceerd
- 25 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In bepaalde versies van RabbitMQ kan het OAuth2-clientgeheim van de beheerinterface zonder inloggen worden opgevraagd. Het geheim staat in een JavaScript-bestand dat voor iedereen zonder authenticatie bereikbaar is. Met dat geheim kan een aanvaller zich voordoen als de beheerinterface bij de identiteitsprovider.
Wie loopt risico?
Je loopt risico als je RabbitMQ 4.2.0 tot 4.2.9 of 4.3.0 tot 4.3.3 gebruikt. Daarbij moet OAuth2-authenticatie voor de beheerinterface aan staan, met een identiteitsprovider die een clientgeheim gebruikt. Iedereen die de poort van de beheerinterface via het netwerk kan bereiken, kan het geheim ophalen. Er zijn publieke exploitgegevens, maar er is geen melding van actief misbruik.
Wat moet je doen?
Controleer je configuratie
Kijk of je RabbitMQ 4.2.0 tot 4.2.9 of 4.3.0 tot 4.3.3 draait en of OAuth2 voor de beheerinterface is ingeschakeld met een clientgeheim.
Werk RabbitMQ bij
Installeer versie 4.2.9 of 4.3.3, afhankelijk van de lijn die je gebruikt. In deze versies is het lek opgelost.
Beperk de toegang tot de beheerinterface
Zorg dat de poort van de beheerinterface alleen bereikbaar is voor de systemen en netwerken die dat echt nodig hebben, en niet vanaf het open internet.
Overweeg het clientgeheim te vervangen
Was de beheerinterface bereikbaar voor onbetrouwbare partijen, overweeg dan om het clientgeheim bij je identiteitsprovider te vervangen, omdat het mogelijk is opgehaald.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Als OAuth2-authenticatie voor de RabbitMQ Management UI is ingeschakeld en de identiteitsprovider een clientgeheim gebruikt, wordt de configuratiewaarde oauthclientsecret in het JavaScript van /js/oidc-oauth/bootstrap.js opgenomen. Die route is in de dispatcher van de beheerplugin geregistreerd als een gewone Cowboy-handler, zonder authenticatiecontrole. Een aanvaller met netwerktoegang tot de poort van de beheerinterface kan het bestand dus opvragen en het geheim uitlezen. Met het geheim kan hij het autorisatiecodeverloop afronden met gestolen autorisatiecodes en zich als de client voordoen. Het probleem is opgelost in 4.2.9 en 4.3.3.
CVSS-vector (versie 4.0, basisscore 8,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-200 · Blootstelling van gevoelige informatie aan een onbevoegde partij
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,4%
- Aanvalscode openbaar
- Ja