PT-2026-93795 · Rabbitmq · Amqp091-Go
CVE-2026-77405
·
Publicado
2026-09-16
·
Atualizado
2026-10-01
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
RabbitMQ amqp091-go versões anteriores a 1.13.0
Description
Uma fraqueza de segurança existe na função
tlsConfigFromURI dentro de uri.go ao construir um objeto tls.Config a partir de uma URI de conexão amqps://. A biblioteca não define explicitamente o campo MinVersion como tls.VersionTLS12. Consequentemente, aplicações compiladas com um runtime Go que permita TLS 1.0 ou 1.1 podem negociar essas versões obsoletas do protocolo durante o handshake de conexão. Um atacante de rede realizando um ataque de Man-in-the-Middle (MitM) pode forçar um downgrade de protocolo, expondo potencialmente as mensagens AMQP e as credenciais de autenticação a vulnerabilidades criptográficas como BEAST, POODLE ou SWEET32, o que pode permitir que o atacante decifre ou altere o fluxo de dados.Recommendations
Atualize o RabbitMQ amqp091-go para a versão 1.13.0.
Exploit
Correção
Inadequate Encryption Strength
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Amqp091-Go