Ataque XSS no RabbitMQ

Um atacante que explore a vulnerabilidade CVE-2019-11281 pode injetar código JavaScript malicioso nas páginas de limites de virtual host e na interface de gerenciamento de federação do RabbitMQ. Ao fazer isso, o atacante pode obter acesso não autorizado a informações sensíveis, como detalhes de configuração de virtual hosts e políticas de segurança. O impacto direto é o roubo dessas informações, mas o atacante também pode usar o script para realizar outras ações maliciosas no contexto do usuário administrativo, como redirecionar o usuário para sites maliciosos ou modificar a configuração do RabbitMQ. Embora a severidade seja classificada como baixa, a possibilidade de acesso a informações confidenciais e a capacidade de realizar ações administrativas tornam essa vulnerabilidade um risco significativo.

Organizations utilizing RabbitMQ for message queuing, particularly those with administrative access granted to users who may be susceptible to social engineering or phishing attacks, are at risk. Environments with legacy RabbitMQ installations running versions prior to 3.7.18 are especially vulnerable.

• linux / server: Examine RabbitMQ access logs for unusual patterns or suspicious URLs containing JavaScript code. Use grep to search for patterns like <script> or javascript: within the logs.

grep -i '<script' /var/log/rabbitmq/error.log

• generic web: Use curl to test the virtual host limits page and federation management UI for XSS vulnerabilities. Attempt to inject simple payloads and observe the response.

curl 'http://rabbitmq-server/admin/virtualhosts/limits?param=<script>alert("XSS")</script>' 

1. 2019-10-16Disclosure

   disclosure

1. Reservado2019-04-18
2. Publicada2019-10-16
3. Modificada2024-09-16
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2019-11281 é atualizar o RabbitMQ para a versão 3.7.18 ou superior. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais, como a aplicação de políticas de segurança de conteúdo (CSP) para restringir a execução de scripts inline nas páginas afetadas. Além disso, monitore os logs do RabbitMQ em busca de atividades suspeitas, como tentativas de injeção de código ou acesso não autorizado a informações sensíveis. Implementar um Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS também pode ajudar a mitigar o risco.