💡 Theo đánh giá của RetroLab, những lỗ hổng này đặc biệt nguy hiểm trong môi trường đám mây và đa tenant, nơi việc lộ OAuth secret có thể dẫn đến toàn quyền kiểm soát broker. Đội ngũ RetroLab khuyến nghị các doanh nghiệp sử dụng RabbitMQ nên ưu tiên vá lỗi và kiểm tra lại cấu hình mạng để giảm thiểu rủi ro.
Các nhà nghiên cứu bảo mật vừa công bố chi tiết về hai lỗ hổng liên quan đến kiểm soát truy cập trong dịch vụ message broker RabbitMQ, có thể cho phép kẻ tấn công đánh cắp OAuth client secret, chiếm quyền điều khiển hạ tầng nhắn tin doanh nghiệp và vượt qua ranh giới tenant.
Đội ngũ bảo mật của Miggo, đơn vị phát hiện và báo cáo các lỗ hổng, cho biết một trong số đó “leaks the broker's confidential OAuth secret to an unauthenticated attacker in a single request, a direct path to full broker takeover in the configurations that use that secret.” Lỗ hổng thứ hai cho phép bất kỳ người dùng đã đăng nhập nào đọc dữ liệu của tenant khác một cách âm thầm.
Cả hai điểm yếu được cho là đã tồn tại trong mã nguồn từ đầu năm 2024, ảnh hưởng đến các dòng phát hành RabbitMQ từ phiên bản 3.13.0 trở đi. Chúng đã được khắc phục trong các phiên bản 4.3.0, 4.2.6, 4.1.11, 4.0.20 và 3.13.15. Hiện chưa có bằng chứng về việc khai thác hai lỗ hổng này trước khi công bố.
Chi tiết hai lỗ hổng
- CVE-2026-57219: Lỗ hổng này nằm ở endpoint quản lý, nơi kiểm tra ủy quyền được hard-code luôn cho phép yêu cầu, không giống như các endpoint nhạy cảm khác. Miggo nhận xét: “The endpoint's authorization check was hard-coded to always allow the request, unlike every other sensitive management endpoint.” Rủi ro cao nhất xảy ra khi cổng quản lý có thể truy cập từ mạng không tin cậy, chẳng hạn như trong môi trường đám mây, đa tenant hoặc giao diện quản lý vô tình lộ ra internet.
- CVE-2026-57221: Lỗ hổng này cho phép người dùng đã xác thực đọc dữ liệu hàng đợi của tenant khác, vi phạm sự cách ly giữa các tenant.
Các lỗ hổng nghiêm trọng khác
Ngoài hai lỗ hổng trên, nhóm duy trì RabbitMQ cũng đã vá hai lỗ hổng mức critical khác có thể dẫn đến TLS client-authentication bypass (điểm CVSS 9.1) và cho phép kẻ tấn công ở vị trí adversary-in-the-middle (AitM) giả mạo phản hồi JSON Web Key Set (JWKS) để khiến broker chấp nhận JWT tùy ý (điểm CVSS 9.2).
Khuyến nghị
Ngoài việc nâng cấp lên phiên bản mới nhất, các quản trị viên nên xoay vòng OAuth client secret nếu giao diện quản lý có thể truy cập qua internet, hạn chế truy cập vào cổng 15672 để ngăn giao diện quản lý bị lộ ra mạng, tách biệt tenant bằng virtual host, và triển khai firewall rules để chặn truy cập vào endpoint dễ bị tấn công trên các phiên bản chưa được vá.
Nguồn: The Hacker News - https://thehackernews.com/2026/07/rabbitmq-flaws-could-leak-oauth-secrets.html
