CVE-2026-67420

RabbitMQ to broker przesyłania wiadomości i przesyłania strumieniowego. Od wersji 3.13.0 do 3.13.19, 4.0.24, 4.1.15, 4.2.10 i 4.3.5, odświeżanie poświadczeń RabbitMQ OAuth zachowuje unieważnione tagi środowiska wykonawczego. gdy istniejące połączenie AMQP odświeża się z tokena OAuth, który przyznaje tag impersonator, ważnemu tokenowi o tej samej nazwie użytkownika, który nie przyznaje już tego tagu, RabbitMQ aktualizuje implementację zaplecza OAuth (token/zakresy/wygaśnięcie), ale pozostawia #user.tags środowiska wykonawczego połączenia bez zmian. królikaccesscontrol:checkuserid/2 nadal honoruje nieaktualny tag personifikatora, więc połączenie (w tym nowo otwarte kanały) może kontynuować publikowanie wiadomości z obcym identyfikatorem użytkownika AMQP po tym, jak to uprawnienie powinno zostać odebrane. Świeże połączenie korzystające z tokena o obniżonej wersji poprawnie odmawia tej samej publikacji, co udowadnia, że defektem jest nieaktualny stan sesji, a nie token. Ograniczenie do połączeń, które kiedyś zawierały osobę personifikującą i pomyślnie odświeżyły się do obniżonej nazwy użytkownika królikauthbackendoauth2 (lub równoważnego backendu z możliwością odświeżania, który zwraca tagi) jest włączone dla Ten problem został rozwiązany w wersjach 3.13.19, 4.0.24, 4.1.15, 4.2.10, oraz 4.3.5.