Ubuntu USN-8933-1 schließt 12 Lücken in RabbitMQ Server – von TLS-Umgehung bis XSS
Serguey Asael Shinder1 Min. LesezeitCanonical hat am 15. Oktober 2026 den Ubuntu-Sicherheitshinweis USN-8933-1 veröffentlicht und damit 12 Schwachstellen in RabbitMQ Server behoben, dem in Erlang geschriebenen AMQP-Message-Broker. Der Hinweis gilt für Ubuntu 26.04, 24.04, 22.04, 20.04, 18.04 und 16.04 LTS; viele Fehler betreffen nur einen Teil dieser Versionen.
Authentifizierung und TLS. Zwei Lücken schwächen die Zertifikatsprüfung. Das Trust-Store-Plugin prüfte Client-Zertifikate fehlerhaft, womit ein Angreifer die TLS-Client-Authentifizierung umgehen könnte (CVE-2026-67231, 18.04 bis 26.04). Nur unter 26.04 verarbeitete RabbitMQ die OAuth2-SSL-Optionen falsch, wenn keine CA-Zertifikate vorhanden waren; dadurch ließe sich die TLS-Prüfung umgehen (CVE-2026-67404). Ein dritter Fehler betrifft Zugangsdaten: RabbitMQ legte sie in einem unsicheren Cookie ab, was vertrauliche Informationen preisgeben könnte (CVE-2026-67236, 20.04 bis 26.04).
Die Management-Oberfläche. Vier Lücken betreffen die Weboberfläche. Distinguished Names aus TLS-Peer-Zertifikaten wurden in der Management-UI (CVE-2026-66077, alle genannten Versionen) und in der Stream-Management-UI (CVE-2026-67239, 22.04 bis 26.04) falsch behandelt, OAuth-Bearer-Token im Bootstrap-JavaScript ebenso (CVE-2026-67237, 24.04 und 26.04); laut Canonical ermöglicht jeder dieser Fehler Cross-Site-Scripting. Eine Wildcard-Konfiguration für CORS-Origins wurde falsch verarbeitet, was Cross-Site Request Forgery erlauben könnte (CVE-2026-66070, 18.04 bis 26.04).
Denial of Service. Fünf Fehler ermöglichen laut Hinweis einen Denial of Service: AMQP-1.0-Arrays mit Elementkonstruktoren der Breite null (CVE-2026-66079), WebSocket-Framegrößen (CVE-2026-67232), Body-Größen im Content-Header (CVE-2026-67235, alle genannten Versionen), ETF-kodierte PID-Knotennamen (CVE-2026-67238) und HTTP-Statuscodes beim Abruf von JWKS-Schlüsseln (CVE-2026-67409).
Was zu installieren ist. Laut Canonical genügt ein normales Systemupdate, anschließend muss rabbitmq-server neu gestartet werden. Die korrigierten Versionen lauten 4.0.5-10ubuntu5.2 für 26.04 LTS, 3.12.1-1ubuntu1.7 für 24.04 LTS und 3.9.27-0ubuntu0.6 für 22.04 LTS. Für 20.04 (3.8.3-0ubuntu0.3+esm2) und 18.04 (3.6.10-1ubuntu0.5+esm1) gibt es die Updates über Ubuntu Pro, für 16.04 (3.5.7-1ubuntu0.16.04.4+esm3) über Ubuntu Pro mit dem Legacy-Support-Add-on.
Quelle: Ubuntu, „USN-8933-1: RabbitMQ Server vulnerabilities“ — https://ubuntu.com/security/notices/USN-8933-1