RabbitMQ/Kafka

In Apache Kafka ist die Broker-Eigenschaft für die JWT-Validierung (sasl.oauthbearer.jwt.validator.class) standardmässig auf eine unsichere Klasse gesetzt, was eine potenzielle Sicherheitslücke darstellt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Im Modul des rabbitmq-connector-Plugins von Apache EventMesh (incubating) V1.7.0 und V1.8.0 besteht eine Deserialisierung nicht vertrauenswürdiger Daten (CWE-502). Angreifer können über kontrollierte RabbitMQ-Nachrichten beliebigen Code aus der Ferne ausführen. Betroffen sind Windows-, Linux- und macOS-Plattformen. CVSS-Basiswert: 9.8 (Kritisch).

In RabbitMQ vor den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 kann der veraltete Endpunkt GET /api/auth auf entsprechend konfigurierten Installationen das OAuth-2-Client-Secret offenlegen. Als betroffen ausgewiesen sind Broadcom/Symantec, Spring (Broadcom/Tanzu), VMware (Broadcom VMSA) und RabbitMQ/Kafka. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

kafka-python vor 2.3.2 enthält eine Denial-of-Service-Schwachstelle in der Verarbeitung der SCRAM-Authentifizierung, über die ein bösartiger oder zwischengeschalteter Broker (Machine-in-the-Middle) die Ereignisschleife des Clients einfrieren kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf kafka-python 2.3.2 oder neuer.

Der JsonKafkaHeaderMapper sowie der veraltete DefaultKafkaHeaderMapper glichen Typ-Header über eine reine Präfix-Prüfung gegen die Liste vertrauenswürdiger Pakete ab. Dadurch wurden mit einem als vertrauenswürdig eingestuften Paket implizit auch alle dessen Unterpakete als vertrauenswürdig behandelt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf die vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

RabbitMQ ist ein Messaging- und Streaming-Broker. Vor Version 4.2.6 erzwingt der RabbitMQ-Stream-Listener die konfigurierte Frame-Size-Begrenzung beim Zusammenbau von Frames während der Authentifizierung nicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Version 4.2.6.

Strimzi, das Apache Kafka auf Kubernetes oder OpenShift betreibt, enthält in den Versionen 0.49.0 bis 0.50.0 eine Schwachstelle beim Einsatz einer benutzerdefinierten Cluster- oder Clients-CA. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

kafka-python vor Version 2.3.2 enthält eine Denial-of-Service-Schwachstelle im Protokoll-Parser. Ein bösartiger Broker oder ein Machine-in-the-Middle-Angreifer kann dadurch Speicher erschöpfen oder Verbindungen aufhängen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: kafka-python auf Version 2.3.2 oder neuer aktualisieren.

Im ARN-Resolver von amazon-mq rabbitmq-aws vor Version 0.2.1 existiert aktiver Debug-Code: Ein Debug-ARN-Schema (arn:aws-debug:file) wird vom Validierungs-Endpunkt PUT /api/aws/arn/validate akzeptiert. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 3.13.14, 4.0.19, 4.1.10 und 4.2.5 akzeptiert die rabbitmq_management-HTTP-API übergrosse, gültige JSON-Bodies auf den with_decode- und direct_request-Pfaden, was einen Denial of Service ermöglicht. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf RabbitMQ 3.13.14, 4.0.19, 4.1.10 bzw. 4.2.5 oder neuer aktualisieren.

RabbitMQ, ein Messaging- und Streaming-Broker, erlaubt in Versionen vor 3.13.15, 4.0.20, 4.1.11 und 4.2.6 foreign bindings auf amq.rabbitmq.reply-to-Ziele, weil flüchtige direct-reply-to-Queues nicht ausreichend abgesichert sind. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine der fehlerbereinigten RabbitMQ-Versionen aktualisieren.

In OpenStack oslo.messaging 1.0.0 bis 17.3.0 führt der RabbitMQ-Treiber beim Verbindungsaufbau zum Message-Broker keine TLS-Hostname-Verifizierung durch. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

RabbitMQ ist ein Messaging- und Streaming-Broker. In den Versionen 4.2.0 bis vor 4.2.4 erlaubt das MQTT-Plugin eine Autorisierung auf Topic-Ebene über reguläre Ausdrücke mit Variablensubstitution, die von Administratoren fehlerhaft konfiguriert werden kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: Auf RabbitMQ 4.2.4 oder neuer aktualisieren.

In Apache Kafka kann ein authentifizierter Operator mit Zugriff auf AlterConfig oder einen Kafka-Connect-Worker die Eigenschaft sasl.jaas.config auf das LdapLoginModule setzen. Dadurch verbindet sich der Server mit einem vom Angreifer kontrollierten LDAP-Server und deserialisiert dessen Antwort, was bei passenden Gadget-Chains im Klassenpfad zu einer unkontrollierten Deserialisierung und Codeausführung führt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Apache Kafka 3.9.1/4.0.0 aktualisieren, die problematischen Login-Module per Systemeigenschaft org.apache.kafka.disallowed.login.modules deaktivieren und nur vertrauenswürdige LDAP-Konfigurationen zulassen.

In Apache Kafka Client besteht laut NVD eine mögliche Schwachstelle für das Auslesen beliebiger Dateien sowie Server-Side Request Forgery (SSRF). Ursache sind die Konfigurationsoptionen sasl.oauthbearer.token.endpoint.url und sasl.oauthbearer.jwks.endpoint.url für die SASL/OAUTHBEARER-Verbindung zu den Brokern: Können diese von einer nicht vertrauenswürdigen Partei gesetzt werden, lassen sich beliebige Dateiinhalte sowie Umgebungsvariablen auslesen oder Anfragen an unbeabsichtigte Ziele senden. Besonders relevant ist dies für Apache Kafka Connect, wo sich so aus einem REST-API-Zugriff ein Zugriff auf Dateisystem, Umgebungsvariablen oder URLs eskalieren lässt. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Ab Apache Kafka 3.9.1/4.0.0 die Systemeigenschaft -Dorg.apache.kafka.sasl.oauthbearer.allowed.urls setzen; ab Version 4.0.0 ist die Standardliste leer, erlaubte URLs müssen dann explizit gesetzt werden.

Die bereits unter CVE-2023-25194 für die Kafka Connect API beschriebene RCE-/Denial-of-Service-Schwachstelle über eine unsichere SASL-JAAS- JndiLoginModule-Konfiguration betrifft auch Apache-Kafka-Broker selbst. Voraussetzung für die Ausnutzung ist, dass ein Angreifer sich mit dem Kafka-Cluster verbinden kann und über die Berechtigung AlterConfigs auf die Cluster-Ressource verfügt. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Ab Apache Kafka 3.4.0 die Systemeigenschaft „-Dorg.apache.kafka.disallowed.login.modules“ setzen; JndiLoginModule ist ab Kafka 3.4.0 standardmässig deaktiviert, JndiLoginModule und LdapLoginModule sind ab Kafka 3.9.1/4.0.0 standardmässig deaktiviert.

Während der Migration eines Apache-Kafka-Clusters von ZooKeeper- in den KRaft-Modus werden ACLs unter bestimmten Bedingungen nicht korrekt durchgesetzt: Wird eine ACL entfernt, während für die betroffene Ressource weiterhin zwei oder mehr andere ACLs bestehen bleiben, behandelt Kafka die Ressource danach fälschlich so, als hätte sie nur eine verbleibende ACL. Der fehlerhafte Zustand endet erst mit dem vollständigen Entfernen aller ZooKeeper-Broker oder dem Hinzufügen einer neuen ACL zur betroffenen Ressource; nach Abschluss der Migration gehen keine Metadaten verloren. Je nach konfigurierten ACLs reicht die Auswirkung von reiner Verfügbarkeitsbeeinträchtigung bis zu Vertraulichkeits- und Integritätsverletzungen, falls DENY-ACLs während der Migration ignoriert werden. CVSS-Basiswert: 7.4 (Hoch).

RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11 und 4.2.6 konnte die Authentifizierung über AMQP 0-9-1, AMQP 1.0 und das Stream-Protokoll einem loopback-beschränkten Nutzer wie guest unerwünschten Zugriff erlauben. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 3.13.15, 4.0.20, 4.1.11 bzw. 4.2.6 oder höher aktualisieren.

Im provectus kafka-ui bis Version 0.7.2 wurde in der Funktion executeSmartFilterTest der Datei kafka-ui-api/src/main/java/com/provectus/kafka/ui/control eine Sicherheitslücke entdeckt. CVSS-Basiswert: 6.3 (Mittel). Als betroffene Hersteller sind in den Quelldaten vermerkt: RabbitMQ/Kafka, Ubiquiti, Element (Matrix.org), Java/OpenJDK (Oracle).

In RabbitMQ vor Version 4.2.5 rendert die Management-Oberfläche das Argument x-internal-purpose einer Queue oder eines Exchange ohne ausreichende Maskierung in ein HTML-title-Attribut, wodurch Cross-Site-Scripting (XSS) möglich wird. Zur Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf RabbitMQ 4.2.5 oder neuer aktualisieren.

Wenn sich eine Anwendung für den DelegatingDeserializer entscheidet, kann ein Producer den Heap des Consumers unbegrenzt wachsen lassen, indem er Datensätze mit eindeutigen, zufälligen Werten im Header spring.kafka.serialization.selector sendet. Dies kann zu einem Denial-of-Service durch Speichererschöpfung führen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Apache Kafka wurde bei der Implementierung des CONSUMER_GROUP_DESCRIBE-API (Opcode 69) die DESCRIBE-Operation fälschlicherweise gegen die GROUP-Ressource statt der korrekten Ressource geprüft. Dies stellt eine unzureichende Autorisierungsprüfung dar. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 4.1.11 und 4.2.6 kann unter Windows der Static-File-Handler rabbit_mgmt_wm_static des RabbitMQ-Management-Plugins URL-kodierte Backslashes weitergeben, was einen Path-Traversal-Angriff ermöglicht. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf RabbitMQ 4.1.11 bzw. 4.2.6 aktualisieren.

RabbitMQ ist ein Messaging- und Streaming-Broker. In Versionen vor 3.13.15, 4.0.21, 4.1.11 und 4.2.6 kann die Topic-Autorisierung während Ausfällen des Metadaten-Speichers eingeschränkte Topic-Schreib- und Bind-Vorgänge zulassen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf RabbitMQ 3.13.15, 4.0.21, 4.1.11 bzw. 4.2.6 oder neuer aktualisieren.

RabbitMQ ist ein Messaging- und Streaming-Broker. In Versionen vor 4.2.6 erlaubt AMQP 0-9-1, dass ein bestehender Consumer auch nach Ablauf des OAuth-Tokens oder nach einem connection.update_secret-Refresh weiterhin Nachrichten empfängt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf RabbitMQ 4.2.6 oder neuer.

RabbitMQ ist ein Messaging- und Streaming-Broker. Vor den Versionen 3.13.15, 4.0.20, 4.1.11, 4.2.6 führt RabbitMQ bei passiven AMQP-0-9-1-Operationen queue.declare und exchange.declare keine Autorisierungsprüfungen durch. Als betroffen ausgewiesen sind Broadcom/Symantec, Spring (Broadcom/Tanzu), VMware (Broadcom VMSA) und RabbitMQ/Kafka. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Die RabbitMQ-Verbindungstools des Amazon MQ MCP Server (awslabs.amazon-mq-mcp-server) beschränken vor Version 2.0.24 laut NVD die vorgesehenen Endpunkte nicht ausreichend. Dies kann laut Beschreibung einem entfernten, nicht authentifizierten Akteur Zugriff ermöglichen. CVSS-Basiswert: 6.5 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, eine EPSS-Bewertung liegt nicht vor.

Im Klaw-Portal für Apache-Kafka-Verwaltung besteht vor Version 2.10.4 eine Schwachstelle durch unsachgemässe Zugriffskontrolle, die die Offenlegung von Passwort-Hashes ermöglicht. Das Problem wurde in Version 2.10.4 behoben.

Die Retry-Topic-Infrastruktur von Spring Kafka validierte benutzerkontrollierte Header-Werte nicht ausreichend, bevor sie darauf reagierte. Ein Producer konnte einen Datensatz mit einem manipulierten retry_topic-attempts-Header senden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Roche Diagnostics navify Digital Pathology sind Standard-Zugangsdaten (Default Credentials) im RabbitMQ-Management-Interface aktiv. Ein Angreifer kann diese bekannten Zugangsdaten nutzen, um sich unberechtigten Zugriff zu verschaffen. Betroffen ist das navify Digital Pathology-Produkt.

In RabbitMQ vor 3.13.14, 4.0.19, 4.1.10 und 4.2.5 rendert das Plugin rabbitmq_federation_management das Feld consumer_tag auf der Federation-Status-Seite ohne ausreichende Neutralisierung, wodurch Cross-Site-Scripting möglich wird. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf eine bereinigte RabbitMQ-Version einspielen.

RabbitMQ ist ein Messaging- und Streaming-Broker; eine Schwachstelle betrifft die Versionen von 3.7.0 bis vor 4.1.2 und 4.0.13. Laut Quelle ist der Fehler in den Versionen 4.1.2 und 4.0.13 behoben. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf RabbitMQ 4.1.2 bzw. 4.0.13 oder neuer aktualisieren.

Im Klaw-Portal für Apache-Kafka-Verwaltung besteht vor Version 2.10.4 eine Schwachstelle durch inkonsistente Behandlung der Benutzerregistrierung und des Anmeldemechanismus. CVSS-Basiswert: 2.7 (Niedrig).