Aviso do Ubuntu corrige várias falhas no RabbitMQ Server, incluindo bypass de autenticação TLS

O que aconteceu e o que fazer

O aviso USN-8933-1, publicado pela Ubuntu Security em 15 de outubro de 2026, corrige várias vulnerabilidades no RabbitMQ Server. Entre elas estão a configuração de origem curinga do CORS, que poderia levar a falsificação de solicitação entre sites; nomes distintos de certificados de pares TLS tratados incorretamente na interface de gerenciamento, com risco de XSS; validação incorreta de certificados de clientes no plugin trust-store, que poderia permitir contornar a autenticação de cliente TLS; credenciais armazenadas em cookie inseguro; tokens bearer OAuth expostos em JavaScript de inicialização; e diversas condições de negação de serviço em AMQP 1.0, quadros WebSocket, cabeçalhos de conteúdo e nomes de nós PID codificados em ETF. A aplicabilidade varia entre Ubuntu 18.04 LTS e Ubuntu 26.04 LTS, conforme cada CVE.

Para uma empresa que usa filas de mensagens como camada de integração ou de dados, o risco prático está em brokers acessíveis por clientes externos, painéis de administração alcançáveis pela rede corporativa e autenticação TLS mútua entre sistemas. Um diagnóstico pode inventariar as instâncias e versões afetadas, os plugins e interfaces habilitados e os pontos de exposição desnecessária. A partir disso, é possível planejar a atualização dos pacotes, restringir o acesso à interface de gerenciamento, revisar a configuração de TLS e CORS e monitorar conexões e erros anômalos, com painéis e alertas para a equipe de infraestrutura.

Como a consultoria pode ajudar

Diagnóstico de exposição de brokers RabbitMQ: inventário de instâncias e versões do Ubuntu afetadas, revisão de plugins, interfaces de gerenciamento, CORS e autenticação TLS. Em seguida, plano de atualização escopado, ajustes de configuração e monitoramento de conexões e erros, operados na infraestrutura do cliente.

Próximo passo

Se sua empresa usa RabbitMQ em produção, envie uma breve descrição do cenário, incluindo as versões em uso e onde o broker roda, e receba uma proposta escopada da Wendelmaques.