Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- RabbitMQ Server
- Soort software
- virtualisatie
- Getroffen versies
- RabbitMQ Server vanaf 4.1.0 tot 4.1.11, vanaf 4.2.0 tot 4.2.9, vanaf 4.3.0 tot 4.3.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- RabbitMQ Server 4.1.11
- RabbitMQ Server 4.2.9
- RabbitMQ Server 4.3.3
- CVE gepubliceerd
- 25 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In RabbitMQ zit een fout in de beheerinterface voor streams. Wie een verzoek stuurt om een super-stream aan te maken, kan de server dwingen veel geheugen te gebruiken voordat er wordt gecontroleerd of die gebruiker daar wel rechten voor heeft. Daardoor kan één groot verzoek een RabbitMQ-node laten crashen. Het lek is nog niet actief misbruikt, maar er is wel publieke informatie over beschikbaar.
Wie loopt risico?
Je loopt risico als je RabbitMQ gebruikt met de stream-managementplug-in aan en er gebruikers zijn die de beheerinterface (management API) mogen gebruiken. Zo'n gebruiker hoeft alleen toegang te hebben tot de virtuele host (vhost), configuratie-, schrijf- of leesrechten zijn niet nodig. Vooral omgevingen met een beperkte hoeveelheid geheugen, zoals containers, kunnen hierdoor uitvallen. In het voorbeeld uit de gegevens was voor een container met 768 MB geheugen een verzoek van ongeveer 4,5 MB genoeg.
Wat moet je doen?
Controleer je versie
Kijk of je RabbitMQ 4.1.0 of nieuwer draait en of de stream-managementplug-in aan staat. Versies vanaf 4.1.0 tot 4.1.11, vanaf 4.2.0 tot 4.2.9 en vanaf 4.3.0 tot 4.3.3 zijn getroffen.
Werk RabbitMQ bij
Update naar 4.3.3, 4.2.9 of 4.1.11, afhankelijk van de versielijn die je gebruikt. Daarin is het lek opgelost.
Beperk toegang tot de beheerinterface
Zorg dat alleen vertrouwde gebruikers en netwerken bij de management API kunnen, zolang je nog niet bijgewerkt hebt.
Controleer gebruikers met toegang
Kijk welke gebruikers de beheerinterface mogen gebruiken en haal toegang weg die niet nodig is.
Volg het advies van de leverancier
Lees het beveiligingsadvies van RabbitMQ voor meer details over het lek en de opgeloste versies.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De handler voor PUT /api/stream/super-streams/{vhost}/{name} in de stream-managementplug-in verwerkt het veld binding-keys door de door de gebruiker aangeleverde, kommagescheiden tekst te parsen. Daarbij wordt de volledige lijst met streamnamen opgebouwd voordat wordt gecontroleerd of de gebruiker rechten heeft om de resulterende streams te configureren. Een geauthenticeerde beheergebruiker met toegang tot de vhost, maar zonder configure-, write- of read-rechten, kan zo grote tijdelijke geheugenallocaties veroorzaken. In een test met een container met 768 MB geheugen leidde één PUT-verzoek met ongeveer 4,5 MB JSON tot het afsluiten van de RabbitMQ-container. Het lek is een vorm van ongecontroleerd resourceverbruik (CWE-400) en is opgelost in 4.3.3, 4.2.9 en 4.1.11.
CVSS-vector (versie 4.0, basisscore 7,1, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-400 · Ongecontroleerd verbruik van resources
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Ja