Vulnerabilidades Críticas no RabbitMQ Permitem Ataque Total e Exposição de Dados de Aplicativos

A recente revelação da Miggo sobre falhas no RabbitMQ escancara a urgência de uma gestão de vulnerabilidades proativa, especialmente em software open source de missão crítica. A CVE-2026-57219 permite que um atacante obtenha o client secret OAuth através de um endpoint de gestão não autenticado. Esta falha, que residia no código desde a versão 3.13.0 (início de 2024), tornava possível que qualquer um com acesso à porta de gestão do RabbitMQ extraísse o segredo e, com isso, assumisse o controle administrativo total do broker.

A outra vulnerabilidade, CVE-2026-57221, é um bypass de autorização em operações de declaração passiva de filas e exchanges. Mesmo usuários com permissão zero podiam listar e monitorar metadados de filas de outros tenants. Em ambientes multi-tenant, isso configura uma brecha séria para reconhecimento e preparação de ataques direcionados. Ambas as falhas destacam inconsistências sutis no código que um sistema automatizado, como o VulnHunter da Miggo, foi capaz de detectar de forma eficiente.

As vulnerabilidades CVE-2026-57219 e CVE-2026-57221 existiam no código do RabbitMQ desde a versão 3.13.0, lançada no início de 2024. O que mudou é a descoberta e correção dessas falhas. Agora, o RabbitMQ disponibilizou patches nas versões 4.3.0, 4.2.6, 4.1.11, 4.0.20 e 3.13.15, que removem o endpoint vulnerável e corrigem a lógica de autorização. Esta é a primeira vez que vulnerabilidades são descobertas na Miggo por um agente autônomo, o VulnHunter, marcando uma evolução na forma como falhas sistêmicas são identificadas.

O RabbitMQ é o pilar de comunicação de dados em inúmeras aplicações modernas, desde e-commerce até serviços de autenticação. A possibilidade de um atacante obter controle total ou vazar metadados em ambientes multi-tenant representa um risco catastrófico para a integridade de dados e a continuidade de negócios. Falhas como estas, que se arrastam por anos no código, sublinham a importância de auditorias de segurança contínuas e o desafio de manter infraestruturas amplamente distribuídas seguras. A descoberta por IA, aliás, aponta para uma tendência crescente na caça a bugs.