Uma vulnerabilidade no RabbitMQ pode permitir que atacantes obtenham o segredo confidencial OAuth (protocolo aberto de autorização) do broker, representando uma ameaça séria para corporações, segundo a empresa de cibersegurança Miggo.
O RabbitMQ é um popular message broker (intermediário de mensagens) de código aberto que roteia, armazena temporariamente e distribui mensagens, possibilitando a comunicação assíncrona entre aplicações.
Rastreada como CVE-2026-5721 (Vulnerabilidades e Exposições Comuns), com pontuação CVSS (Sistema Comum de Pontuação de Vulnerabilidades) de 8,7, a falha de segurança atinge um endpoint (ponto de acesso) de gerenciamento aberto que retorna o segredo OAuth para qualquer pessoa, sem autenticação.
O bug foi descoberto em um endpoint obsoleto na interface web de gerenciamento do RabbitMQ e pode ser acionado em configurações nas quais o administrador tenha definido a senha confidencial do broker para autenticação no provedor de identidade.
"Qualquer pessoa que conseguisse alcançar a porta de gerenciamento poderia obtê-lo e, em casos nos quais a concessão OAuth torna o segredo utilizável, se passar pelo broker junto ao provedor de identidade e obter um token de administrador", afirma a Miggo.
Em configurações que utilizam o segredo exposto — o padrão quando se adota um provedor OAuth 2/OIDC (Open Authorization/OpenID Connect), como Auth0, Azure AD/Entra ID, Keycloak ou UAA (User Account and Authentication) —, um atacante poderia obter o token de administrador para assumir o controle de usuários, mensagens, filas e configurações do broker, explica a empresa.
Caso nenhum segredo de cliente tenha sido configurado, a implantação não é afetada, pois não há segredo a ser vazado. Instâncias do RabbitMQ sem o plugin de gerenciamento também não são afetadas.
"O risco é mais agudo sempre que a porta de gerenciamento é alcançável por uma rede não confiável: ambientes em nuvem ou multilocatários, ou uma interface de gerenciamento acidentalmente exposta à internet", destaca a Miggo.
A CVE-2026-5721 foi introduzida no início de 2024, na versão 3.13.0 do RabbitMQ, e foi corrigida nas versões 4.3.0, 4.2.6, 4.1.11, 4.0.20 e 3.13.15.
As atualizações também corrigem a CVE-2026-57221, com pontuação CVSS de 5,3, uma falha de média gravidade relacionada à ausência de autorização, que permite a qualquer usuário autenticado enumerar filas e exchanges (pontos de troca de mensagens), além de ler suas estatísticas.
Segundo a Miggo, a vulnerabilidade poderia ser usada para mapear o host virtual de uma organização, inferir atividades de negócios e reunir inteligência para ataques futuros. A falha representa um risco para ambientes multilocatários em que o mesmo host virtual é compartilhado entre múltiplas aplicações ou equipes.
As organizações devem atualizar imediatamente suas implantações do RabbitMQ, bloquear o acesso a instâncias vulneráveis caso a correção não seja possível, garantir que a interface de gerenciamento não fique exposta à internet, implementar segmentação de rede e rotacionar o segredo de cliente OAuth, embora não haja evidências de exploração da falha em ambiente real.
"Nenhum desses bugs do RabbitMQ é exótico. Eles ficaram no código-fonte por mais de dois anos. São exatamente o tipo de inconsistência silenciosa e sistêmica que se esconde em software maduro e amplamente implantado: o tipo que um revisor humano lê sem perceber e que uma ferramenta de análise de passagem única não consegue comparar com tudo ao seu redor", observa a Miggo.
