RabbitMQ có lỗ hổng kiểm soát truy cập có thể rò rỉ bí mật OAuth và lộ siêu dữ liệu hàng đợi giữa các tenant
"Two access-control flaws in RabbitMQ were disclosed that could expose OAuth client secrets and allow authenticated users to enumerate cross-tenant queue and exchange metadata. The issues are tracked as CVE-2026-57219 (CVSS 8.7), which could enable broker takeover via an obsolete /api/auth endpoint, and CVE-2026-57221 (CVSS 5.3), which bypasses authorization for virtual host metadata access; fixes were released in RabbitMQ 4.3.0, 4.2.6, 4.1.11, 4.0.20, and 3.13.15."
Tác động chính là rò rỉ bí mật OAuth và vượt ranh giới tenant. Đặc biệt, CVE-2026-57219 có thể tạo đường dẫn tới chiếm quyền broker khi quản trị có thể truy cập, trong khi CVE-2026-57221 làm lộ siêu dữ liệu hàng đợi/trao đổi và bộ đếm ngay cả khi quyền không phù hợp.
Rủi ro vận hành gồm khả năng mất toàn quyền kiểm soát hệ thống nhắn tin và rò rỉ thông tin hạ tầng giữa các nhóm người dùng. Điều này có thể gây gián đoạn dịch vụ, tăng chi phí điều tra và ảnh hưởng tuân thủ khi tenant bị lộ dữ liệu.
Các nhà nghiên cứu bảo mật đã công bố 2 lỗ hổng kiểm soát truy cập trong RabbitMQ có thể dẫn đến rò rỉ OAuth client secret và cho phép người dùng đã xác thực liệt kê siêu dữ liệu hàng đợi/trao đổi giữa các tenant. Theo thông tin công bố, vấn đề tồn tại trong mã từ đầu năm 2024 và ảnh hưởng đến các nhánh RabbitMQ từ 3.13.0 trở đi.
Cụ thể, CVE-2026-57219 (CVSS 8.7) liên quan một endpoint HTTP quản trị lỗi thời GET /api/auth có thể tiết lộ bí mật OAuth của broker. Khi kẻ tấn công khai thác, họ có thể đổi bí mật này để lấy token quản trị và chiếm toàn quyền đối với các thiết lập như message, queue, user và cấu hình broker.
Ngoài ra, CVE-2026-57221 (CVSS 5.3) do thiếu cơ chế ủy quyền cho phép người dùng đã đăng nhập, miễn là kết nối được vào virtual host, có thể liệt kê tên queue và exchange cũng như đọc các bộ đếm như số lượng message và consumer, bất chấp quyền thực tế.
Các bản sửa đã được phát hành trong RabbitMQ 4.3.0, 4.2.6, 4.1.11, 4.0.20 và 3.13.15. Khuyến nghị: cập nhật lên phiên bản đã vá, xoay (rotate) OAuth client secret nếu giao diện quản trị có thể truy cập từ Internet, giới hạn cổng quản trị 15672, tách tenant bằng virtual host, và dùng firewall chặn endpoint /api/auth trên các hệ thống chưa vá. Không có bằng chứng khai thác chủ động trước thời điểm công bố.