RabbitMQ AMQP passive queue declaration permission check change (Pre-Auth/Access Control)

漏洞概述 该漏洞涉及AMQP 0-9-1协议中被动队列和交换声明的配置检查。具体来说，当用户尝试声明一个不存在的队列或交换时，系统会检查用户是否具有 权限。如果用户没有此权限，声明操作将被拒绝。这一行为在某些情况下被视为破坏性变更，因为它影响了依赖于此行为的现有系统。 影响范围 受影响版本：4.2.5到4.2.6 影响场景：依赖被动声明队列或交换的系统，特别是那些使用Spring Boot和RabbitMQ的用户。 具体问题：用户在没有 权限的情况下无法声明不存在的队列或交换，导致系统故障。 修复方案 1. 临时解决方案： - 用户可以在声明队列或交换前检查其是否存在，以避免触发权限检查。 - 示例代码： 2. 长期解决方案： - 修改RabbitMQ的行为，允许用户在没有 权限的情况下进行被动声明。 - 具体实现：在PR #16272中，作者提出了一种方法，允许用户在任何权限类型下进行被动声明。 3. 社区反馈： - 社区成员讨论了该变更的破坏性，并提出了多种解决方案。 - 最终决定通过PR #16272来修复此问题，允许用户在任何权限类型下进行被动声明。 POC代码 页面中未提供具体的POC代码，但提供了相关的代码示例和讨论。 总结 该漏洞主要影响依赖被动声明队列或交换的系统，特别是在使用Spring Boot和RabbitMQ的环境中。修复方案包括临时检查和长期修改RabbitMQ的行为，以确保系统的稳定性和安全性。

目標達成すべての支援者に感謝 — 100%達成しました！

RabbitMQ AMQP passive queue declaration permission check change (Pre-Auth/Access Control)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

RabbitMQ AMQP passive queue declaration permission check change (Pre-Auth/Access Control)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！