PT-2021-19882 · Rabbitmq+5 · Rabbitmq+5

Christian Rellmann · Publicado 2021-06-08 · Atualizado 2024-12-09 · CVE-2021-32718

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do RabbitMQ anteriores à 3.8.17

Descrição

A vulnerabilidade diz respeito à possibilidade de execução de código JavaScript no contexto da página quando um novo usuário é adicionado por meio da interface de gerenciamento. Isso ocorre devido à sanitização insuficiente da tag <script> no nome do usuário, que é exibida em uma mensagem de confirmação. A exploração requer que o usuário esteja conectado e tenha permissões elevadas para gerenciar outros usuários.

Recomendações

Para versões anteriores à 3.8.17, atualize para o RabbitMQ 3.8.17 para resolver o problema.

Como solução alternativa temporária, considere desativar o plugin rabbitmq management e use ferramentas CLI para operações de gerenciamento, juntamente com o Prometheus e o Grafana para métricas e monitoramento.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-80

Identificadores relacionados

BDU:2025-04152

BIT-RABBITMQ-2021-32718

CVE-2021-32718

GHSA-C3HJ-RG5H-2772

MGASA-2021-0390

OPENSUSE-SU-2021:1334-1

OPENSUSE-SU-2021:3325-1

OPENSUSE-SU-2021_1334-1

OPENSUSE-SU-2021_3325-1

RHSA-2022:8851

RHSA-2022:8867

SUSE-FU-2024:2078-1

SUSE-SU-2021:3254-1

SUSE-SU-2021:3325-1

USN-7143-1

Produtos afetados

Astra Linux

Debian

Linuxmint

Rabbitmq

Suse

Ubuntu

Referências · 47

• 🔥 http://seclists.org/fulldisclosure/2021/Dec/3 · Exploit
• https://github.com/rabbitmq/rabbitmq-server/pull/3028 · Correção
• https://github.com/rabbitmq/rabbitmq-server/security/advisories/GHSA-c3hj-rg5h-2772 · Nota
• https://github.com/rabbitmq/rabbitmq-server/commit/a8dffdf7de9793a76fc4685c89b968d8eddca4ca · Nota
• https://github.com/rabbitmq/rabbitmq-server/commit/a7373585faeac0aaede5a9c245094d8022e81299 · Nota
• https://ubuntu.com/security/CVE-2021-32718 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2021:3325-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-32718 · Nota de Segurança
• https://suse.com/support/update/announcement/-2024-2078/suse-fu-20242078-1 · Nota
• https://bugzilla.suse.com/1216582 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32718 · Nota de Segurança
• https://osv.dev/vulnerability/SUSE-SU-2021:3325-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-32719 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE77 · Aviso do Fabricante
• https://bugzilla.suse.com/1199431 · Nota