Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- RabbitMQ
- Soort software
- virtualisatie
- Getroffen versies
- RabbitMQ vanaf 3.13.0 tot 3.13.18, vanaf 4.0.0 tot 4.0.23, vanaf 4.1.0 tot 4.1.14, vanaf 4.2.0 tot 4.2.9, vanaf 4.3.0 tot 4.3.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- RabbitMQ 3.13.18
- RabbitMQ 4.0.23
- RabbitMQ 4.1.14
- RabbitMQ 4.2.9
- RabbitMQ 4.3.3
- CVE gepubliceerd
- 25 september 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 8 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
RabbitMQ is een berichtenbroker. In de OAuth2-aanmelding controleert de broker niet of de server die de ondertekeningssleutels levert, een succesvol antwoord geeft. Als die server een foutmelding teruggeeft, kan RabbitMQ alle opgeslagen sleutels wissen. Daardoor kan niemand zich nog aanmelden met OAuth2 totdat de sleutels weer succesvol zijn opgehaald. De ernst is hoog (8,2).
Wie loopt risico?
Je loopt risico als je RabbitMQ gebruikt met OAuth2- of JWT-aanmelding, in de versies vanaf 3.13.0 die lager zijn dan de opgeloste versies. Een aanvaller via het netwerk kan dan voor alle gebruikers de aanmelding laten mislukken. Heb je OAuth2 niet ingeschakeld, dan is dit lek voor jou waarschijnlijk niet van toepassing. Het gaat om uitval van de aanmelding, niet om inzage in gegevens.
Wat moet je doen?
Ga na of je OAuth2 gebruikt
Controleer welke RabbitMQ-versies je draait en of de OAuth2-aanmelding (JWT met een JWKS-endpoint) is ingeschakeld.
Update naar een opgeloste versie
Werk bij naar de opgeloste versie van jouw reeks: 4.3.3, 4.2.9, 4.1.14, 4.0.23 of 3.13.18.
Controleer de aanmelding na de update
Test na het bijwerken of aanmelden met OAuth2 werkt en of het ophalen van de sleutels bij de OAuth2-aanbieder slaagt.
Volg het advies van de leverancier
Lees het beveiligingsadvies van RabbitMQ (GHSA-qw3h-qqm9-jrw8) voor aanvullende details over jouw versie.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het ophalen van de JWKS-sleutels in uaajwt.erl controleert de HTTP-statuscode van het antwoord niet. Het patroon op het resultaat van de Erlang-functie httpc komt overeen met elke afgeronde HTTP-transactie, ook bij 4xx- en 5xx-antwoorden. Geeft het JWKS-endpoint een foutantwoord met geldige JSON zonder het veld keys, dan worden alle eerder opgeslagen ondertekeningssleutels vernietigd. Zolang er geen nieuwe geslaagde verversing plaatsvindt, mislukt de OAuth2- en JWT-authenticatie voor alle gebruikers. De betrokken bestanden zijn uaajwt.erl, uaajwks.erl en rabbitoauth2provider.erl in de OAuth2-authenticatiebackend. Het lek valt onder CWE-252 en is opgelost in 4.3.3, 4.2.9, 4.1.14, 4.0.23 en 3.13.18.
CVSS-vector (versie 4.0, basisscore 8,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-252 · Niet-gecontroleerde retourwaarde
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Ja