RabbitMQ: dve ranjivosti koje mogu otkriti OAuth secret i metapodatke redova

Kolege, želim da skrenem pažnju na vest iz oblasti sajber bezbednosti. U RabbitMQ su pronađene dve ranjivosti povezane sa kontrolom pristupa.

Jedna od njih, putem zastarelog API-ja /api/auth, može otkriti OAuth client secret i otvoriti put ka preuzimanju brokera.

Druga omogućava autentifikovanom korisniku da čita metapodatke redova i exchange objekata drugih tenanata.

Pogođene su verzije 3.13.0 i novije. Ispravke su već dostupne u 4.3.0, 4.2.6, 4.1.11, 4.0.20 i 3.13.15.

Preporučio bih da ažurirate sistem, rotirate secret, ograničite pristup 15672 i odvajate tenante po virtual host-u.

Zašto je ovo važno: ovakve greške u brokeru direktno utiču na pristup porukama i infrastrukturi.

Kako Vi štitite RabbitMQ u svojim sredinama?

#RabbitMQ #sajberbezbednost #Ranjivost #IAM