RabbitMQに管理者権限奪取やテナント間データ漏洩の脆弱性、修正版が公開

要点

• メッセージブローカーのRabbitMQに、アクセス制御に関する2つの脆弱性が判明した。

• 「CVE-2026-57219」では、未認証の攻撃者がOAuthシークレットを奪取し、完全な制御権を得る恐れがある。

• 「CVE-2026-57221」では、一般ユーザーが他テナントのキュー名やメッセージ件数を閲覧できる。

• 影響を受けるのはバージョン3.13.0以降で、すでに修正パッチを適用したアップデートが公開されている。

• 鍵の再生成や管理用ポートへのアクセス制限など、複数のネットワーク的な緩和策も推奨されている。

• 異なるシステム間でデータを中継する「RabbitMQ」において、アクセス制御に関する重大な脆弱性が発見された。セキュリティ企業Miggoがこの問題を公表し、2026年7月14日に海外メディアなどで報じられた。これらの脆弱性を悪用されると、認証情報の漏洩によりシステムを完全に乗っ取られたり、マルチテナント環境（1つのシステムを複数組織で共有する環境）において他組織のデータが流出したりする危険性があるという。

• 確認された脆弱性は「CVE-2026-57219」と「CVE-2026-57221」の2件だ。これらは2024年初頭からコードベースに混入しており、バージョン3.13.0以降のリリースラインが影響を受ける。現時点で公表前の悪用は確認されていない。

• 最も深刻な「CVE-2026-57219」（CVSSスコア：8.7）は、非推奨となった特定のHTTP APIエンドポイント（GET /api/auth）に起因する。このエンドポイントでは認証チェックが常に要求を通すようにハードコード（プログラムへの直接記述）されており、OAuth 2.0認証（安全に権限を付与するための標準規格）で management.oauth_client_secret を使用しているシステムでは、未認証 of 攻撃者が単一のリクエストで機密のOAuthクライアントシークレット（認証用の鍵）を取得できてしまう。このシークレットは管理者トークンと交換可能なため、攻撃者はすべてのメッセージやキュー、ユーザー設定を含むブローカーの完全な制御権を掌握できる。このリスクは、クラウドやマルチテナント環境、あるいは管理ポート（15672）が誤ってインターネットに公開されている場合に特に高まる。

• もう一つの「CVE-2026-57221」（CVSSスコア：5.3）は認可不全のバグである。これにより、論理的にリソースを分離する仮想ホストに接続可能な認証済みユーザーであれば、本来の権限にかかわらず、その仮想ホスト内のすべてのキュー（一時的なデータ保持領域）やエクスチェンジ（メッセージの転送先決定コンポーネント）の名称を表示できるようになる。さらに、キュー内にたまっているメッセージの数や、それらを処理する受信側アプリケーションの数までもが、管理者に気付かれずに閲覧できてしまう懸念がある。

• RabbitMQの開発元は、これらの脆弱性に対処した修正版としてバージョン4.3.0、4.2.6、4.1.11、4.0.20、および3.13.15を公開した。

• セキュリティチームはアップデートの適用を急ぐよう呼びかけるとともに、即時の対処が難しい環境に向けて複数の緩和策を推奨している。管理用インターフェースが外部に公開されている場合は、直ちにOAuthクライアントシークレットを再生成すること。また、管理用ポート（15672）へのアクセスを制限し、信頼できないネットワークからの到達を防ぐファイアウォール（不正通信を防ぐシステム）を設定することだ。パッチ未適用のインスタンスでは、脆弱なエンドポイントへのアクセスをネットワークレベルでブロックすることも推奨されている。

• さらに、今回の発表と同時に、RabbitMQでは他に2つの重大な脆弱性も修復された。1つは、暗号化通信（TLS）におけるクライアント認証をバイパスされる恐れがあるもの（CVSSスコア：9.1）。もう1つは、通信経路上で改ざんを行う中間者攻撃（AitM）により、公開鍵リスト（JWKS）の応答を偽装され、不正なトークンを受け入れさせられてしまう問題（CVSSスコア：9.2）である。これらについてもあわせて修正が実施されている。