RabbitMQ — брокер обмена сообщениями и потоковой передачи. До версий 3.13.15, 4.0.20, 4.1.11 и 4.2.6 AMQP 0-9-1, AMQP 1.0 и проверка подлинности Stream Protocol могут позволить пользователю с ограниченным шлейфом, например гостю, подключаться удаленно, когда трафик принимается через доверенный путь PROXY-протокола, а внутренний прослушиватель привязан к шлейфу, поскольку проверка шлейфа использует адрес сокета на стороне прослушивателя вместо реальный источник клиента. Эта проблема исправлена в версиях 3.13.15, 4.0.20, 4.1.11 и 4.2.6.
Показать оригинальное описание (EN)
RabbitMQ is a messaging and streaming broker. Prior to 3.13.15, 4.0.20, 4.1.11, and 4.2.6, AMQP 0-9-1, AMQP 1.0, and Stream Protocol authentication can allow a loopback-restricted user such as guest to connect remotely when traffic is accepted through a trusted PROXY-protocol path and the backend listener is loopback-bound because the loopback check uses the listener-side socket address instead of the real client source. This issue is fixed in versions 3.13.15, 4.0.20, 4.1.11, and 4.2.6.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Broadcom Rabbitmq_Server
cpe:2.3:a:broadcom:rabbitmq_server:*:*:*:*:*:*:*:*
|
3.13.0
|
4.2.6
|