Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-03490

Опубликовано: 28 июн. 2021
Источник: fstec
CVSS3: 4.8
CVSS2: 4.9
EPSS Низкий

Описание

Уязвимость плагина rabbitmq_federation_management брокера сообщений RabbitMQ существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Pivotal Software Inc.
ООО «РусБИТех-Астра»

Наименование ПО

RabbitMQ
Astra Linux Special Edition

Версия ПО

до 3.8.18 (RabbitMQ)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)

Тип ПО

Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4)

Возможные меры по устранению уязвимости

Обновление брокера сообщений RabbitMQ до актуальной версии
Для ОС Astra Linux:
обновить пакет rabbitmq-server до 3.8.2-1+deb10u2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux:
обновить пакет rabbitmq-server до 3.8.2-1+deb10u2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 31%
0.0012
Низкий

4.8 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVSS3: 3.1
ubuntu
больше 4 лет назад

RabbitMQ is a multi-protocol messaging broker. In rabbitmq-server prior to version 3.8.18, when a federation link was displayed in the RabbitMQ management UI via the `rabbitmq_federation_management` plugin, its consumer tag was rendered without proper <script> tag sanitization. This potentially allows for JavaScript code execution in the context of the page. The user must be signed in and have elevated permissions (manage federation upstreams and policies) for this to occur. The vulnerability is patched in RabbitMQ 3.8.18. As a workaround, disable the `rabbitmq_federation_management` plugin and use [CLI tools](https://www.rabbitmq.com/cli.html) instead.

CVSS3: 4.8
redhat
больше 4 лет назад

RabbitMQ is a multi-protocol messaging broker. In rabbitmq-server prior to version 3.8.18, when a federation link was displayed in the RabbitMQ management UI via the `rabbitmq_federation_management` plugin, its consumer tag was rendered without proper <script> tag sanitization. This potentially allows for JavaScript code execution in the context of the page. The user must be signed in and have elevated permissions (manage federation upstreams and policies) for this to occur. The vulnerability is patched in RabbitMQ 3.8.18. As a workaround, disable the `rabbitmq_federation_management` plugin and use [CLI tools](https://www.rabbitmq.com/cli.html) instead.

CVSS3: 3.1
nvd
больше 4 лет назад

RabbitMQ is a multi-protocol messaging broker. In rabbitmq-server prior to version 3.8.18, when a federation link was displayed in the RabbitMQ management UI via the `rabbitmq_federation_management` plugin, its consumer tag was rendered without proper <script> tag sanitization. This potentially allows for JavaScript code execution in the context of the page. The user must be signed in and have elevated permissions (manage federation upstreams and policies) for this to occur. The vulnerability is patched in RabbitMQ 3.8.18. As a workaround, disable the `rabbitmq_federation_management` plugin and use [CLI tools](https://www.rabbitmq.com/cli.html) instead.

CVSS3: 3.1
debian
больше 4 лет назад

RabbitMQ is a multi-protocol messaging broker. In rabbitmq-server prio ...

suse-cvrf
больше 4 лет назад

Security update for rabbitmq-server

EPSS

Процентиль: 31%
0.0012
Низкий

4.8 Medium

CVSS3

4.9 Medium

CVSS2