„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-9133 betrifft die ARN-Resolver-Komponente des Amazon-MQ-RabbitMQ-Plugins (amazon-mq rabbitmq-aws). Ein aktiv im Code hinterlassenes Debug-Schema ermöglicht es authentifizierten Angreifern, willkürliche Dateien auf dem RabbitMQ-Server auszulesen. Der CVSS-Score von 7.7 kennzeichnet dies als hochkritische Schwachstelle mit erheblichem Risikopotential.
Betroffene Systeme
Betroffen sind alle Versionen von amazon-mq rabbitmq-aws vor Version 0.2.1. Dies umfasst RabbitMQ-Installationen, die das AWS-Integration-Plugin zur ARN-Validierung nutzen. Besonders gefährdet sind Produktionsumgebungen, die sensible Daten in Dateien speichern, auf die der RabbitMQ-Prozess Zugriff hat.
Technische Details
Die Schwachstelle existiert im PUT-Endpunkt /api/aws/arn/validate, der ARNs validiert. Der fehlerhaft hinterlassene Debug-Code akzeptiert ein spezielles ARN-Schema: arn:aws-debug:file. Dieses Debug-Schema ermöglicht es authentifizierten Benutzern, lokale Dateipfade zu spezifizieren und diese über den Validator auszulesen. Angreifer können somit auf Konfigurationsdateien, private Keys, Umgebungsvariablen oder andere sensible Dateien zugreifen, sofern der RabbitMQ-Prozess diese lesen kann.
Empfohlene Massnahmen
Patches: Ein Patch ist noch nicht verfügbar – dies ist eine noch zu behebende Lücke. Führen Sie sofort ein Update auf Version 0.2.1 durch, sobald diese veröffentlicht wird.
Workarounds: Beschränken Sie den Netzwerkzugriff auf den Validierungsendpunkt nur auf vertrauenswĂĽrdige interne Systeme. Implementieren Sie WAF-Regeln gegen verdächtige ARN-Requests mit dem „aws-debug“-Schema.
Monitoring: Überwachen Sie Logs des /api/aws/arn/validate-Endpunkts auf ungewöhnliche Anfragen. Prüfen Sie RabbitMQ-Prozessberechtigungen und rotieren Sie TLS-Zertifikate.
Bewertung
Diese Sicherheitslücke erfordert sofortige Aufmerksamkeit. Das Debug-Schema ist ein klassisches Zeichen fehlerhafter Sicherheitsüberprüfungen in der Entwicklung. Da bereits ein Update verfügbar ist, sollte dieses unverzüglich eingespielt werden. Für Systeme ohne unmittelbaren Zugriff auf das Update: Implementieren Sie die genannten Workarounds und erhöhen Sie die Monitoring-Intensität.
„`