PT-2026-46260 · Openstack+1 · Oslo.Messaging+1

Tim Shephard · Publicado 2026-06-04 · Atualizado 2026-06-08 · CVE-2026-44393

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas oslo.messaging versões 1.0.0 a 17.3.0

Descrição O driver RabbitMQ no oslo.messaging não realiza a verificação do nome do host TLS ao se conectar ao broker de mensagens. Embora o driver habilite a validação da cadeia de certificados quando o ssl ca file está configurado, ele não passa o nome do host do broker esperado para a pilha TLS. Consequentemente, qualquer certificado assinado pela CA de implantação é aceito, independentemente do nome do host. Isso permite que um invasor capaz de interceptar o tráfego do plano de controle se passe pelo broker RabbitMQ e execute um ataque de man-in-the-middle no tráfego de RPC e notificações. Todos os serviços OpenStack que utilizam oslo.messaging com RabbitMQ sobre TLS são impactados.

Recomendações Atualize para a versão 18.1.0-1.1 ou posterior.

Correção

Enumeração de Fraquezas

CWE-297

Identificadores relacionados

CVE-2026-44393

OPENSUSE-SU-2026:10973-1

Produtos afetados

Rabbitmq

Oslo.Messaging

Referências · 11

• https://security-tracker.debian.org/tracker/CVE-2026-44393 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-44393 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-44393 · Aviso do Fabricante
• https://bugs.launchpad.net/oslo.messaging/+bug/2150316 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44393 · Nota de Segurança
• https://launchpad.net/bugs/2150316 · Nota
• https://suse.com/security/cve/CVE-2026-44393 · Nota
• https://wiki.openstack.org/wiki/OSSN/OSSN-0096 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10973-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-44393 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-44393 · Aviso do Fabricante