JVNDB-2026-023627

BroadcomのRabbitMQ Serverにおける認証の欠如に関する脆弱性

RabbitMQはメッセージングおよびストリーミングのブローカーです。バージョン3.13.15、4.0.20、4.1.11、および4.2.6以前のRabbitMQでは、passive queue.declareおよびexchange.declareのAMQP 0-9-1操作に対して認可チェックが行われていませんでした。仮想ホストに接続できる認証済みユーザーであれば誰でも、キューおよびエクスチェンジの名前を列挙し、キューメッセージおよびコンシューマ数を読み取ることが可能でした。この問題はバージョン3.13.15、4.0.20、4.1.11、および4.2.6で修正されています。

Broadcom

• RabbitMQ Server 3.13.0 以上 4.2.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Passive queue/exchange declaration bypasses authorization checks, leaking queue metadata to unprivileged users  Advisory  rabbitmq/rabbitmq-server  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-57221

1. National Vulnerability Database (NVD) : CVE-2026-57221
2. 関連文書 : AMQP 0-9-1: apply `configure` checks to passive queue, exchange decla…  rabbitmq/rabbitmq-server@dc3d1aa  GitHub
3. 関連文書 : Release RabbitMQ 4.2.6  rabbitmq/rabbitmq-server  GitHub
4. 関連文書 : AMQP 0-9-1: apply `configure` checks to passive queue, exchange declarations by michaelklishin  Pull Request #16085  rabbitmq/rabbitmq-server  GitHub
5. 関連文書 : AMQP 0-9-1: apply `configure` checks to passive queue, exchange declarations (backport #16085) (backport #16088) by mergify[bot]  Pull Request #16090  rabbitmq/rabbitmq-server  GitHub
6. 関連文書 : AMQP 0-9-1: apply `configure` checks to passive queue, exchange decla…  rabbitmq/rabbitmq-server@709a14e  GitHub

• [2026年07月14日]
    掲載