CVE-2016-9877
KrytyczneStreszczenie
W Pivotal RabbitMQ 3.x przed wersją 3.5.8 oraz 3.6.x przed wersją 3.6.6, a także w RabbitMQ dla PCF 1.5.x przed wersją 1.5.20, 1.6.x przed wersją 1.6.12 i 1.7.x przed wersją 1.7.7, odkryto problem z uwierzytelnianiem połączeń MQTT. Uwierzytelnienie z użyciem pary nazwa użytkownika/hasło jest skuteczne, jeśli podano istniejącą nazwę użytkownika, ale pominięto hasło w żądaniu połączenia.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do systemu, co może prowadzić do wycieku danych lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Pivotal RabbitMQ do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, takich jak wymuszenie podawania hasła przy uwierzytelnianiu.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Pivotal RabbitMQ 3.x before 3.5.8 and 3.6.x before 3.6.6 and RabbitMQ for PCF 1.5.x before 1.5.20, 1.6.x before 1.6.12, and 1.7.x before 1.7.7. MQTT (MQ Telemetry Transport) connection authentication with a username/password pair succeeds if an existing username is provided but the password is omitted from the connection request. Connections that use TLS with a client-provided certificate are not affected.