RabbitMQ, CVE-2026-5721: endpoint obsoleto esponeva secret…

Un endpoint obsoleto nel pannello di gestione di RabbitMQ ha reso accessibile il client secret OAuth. CVE-2026-5721 ha CVSS 8.7.

Miggo Security ha reso pubblica il 13 luglio 2026 una falla critica in RabbitMQ, il message broker open source distribuito da Broadcom attraverso la linea Tanzu. CVE-2026-5721 permette a un attaccante non autenticato di recuperare il client secret OAuth del broker tramite un endpoint rimasto attivo nel plugin di gestione web dopo essere diventato obsoleto. La vulnerabilità è presente nel codice da quando è stata introdotta nella versione 3.13.0 all'inizio del 2024. Tutti i dettagli tecnici derivano dalla ricerca di Miggo Security; non risulta un advisory ufficiale Broadcom/Tanzu.

Punti chiave

CVE-2026-5721 ha un punteggio CVSS 8.7: un endpoint non autenticato, GET /api/auth, restituisce il client secret OAuth configurato nel broker
La catena di attacco documentata da Miggo Security procede dal recupero del secret all'impersonazione del broker presso il provider di identità, fino all'ottenimento di un token amministrativo
La falla è stata introdotta in RabbitMQ 3.13.0 all'inizio del 2024 ed è rimasta non rilevata per oltre due anni
Le versioni corrette sono 4.3.0, 4.2.6, 4.1.11, 4.0.20 e 3.13.15; i sistemi senza management plugin o senza client secret configurato non sono a rischio
Non è stata riportata evidenza di exploit in-the-wild

La catena d'attacco: da un endpoint obsoleto al token amministrativo

Il nucleo tecnico della vulnerabilità è un endpoint HTTP, GET /api/auth, che risiede nel plugin di gestione web di RabbitMQ. Secondo quanto documentato da CSO Online con riferimento al lavoro di Miggo Security, questo endpoint restituisce la configurazione OAuth del broker incluso il client secret, senza richiedere alcuna forma di autenticazione. Il segreto, destinato a essere noto esclusivamente al broker e al provider di identità, diventa accessibile a chiunque possa raggiungere la porta di gestione.

La catena di attacco documentata dai ricercatori non si ferma all'esposizione del secret. Secondo la citazione diretta di Miggo Security riportata da HowToUseLinux, "chiunque potesse raggiungere la porta di gestione poteva recuperarlo, poi, laddove il grant OAuth rende utilizzabile il secret, impersonare il broker presso il provider di identità e ottenere un token amministrativo". Il brief supporta che il token ottenuto attraverso il flusso di concessione OAuth consenta l'impersonazione del broker presso l'IdP; la fonte non specifica che questo consenta operazioni dirette sul broker.

La configurazione affetta è quella in cui RabbitMQ funge da client confidenziale OAuth 2.0/OIDC, tipica per i provider standard come Auth0, Azure AD/Entra ID, Keycloak e UAA. Non tutte le installazioni sono esposte: i sistemi privi di management plugin attivato, o privi di client secret configurato, non presentano la superficie d'attacco. Il rischio si concentra nelle distribuzioni cloud e multi-tenant dove l'interfaccia di gestione è esposta a reti non attendibili.

"Nessuno di questi bug di RabbitMQ è esotico. Sono rimasti nel codice base per oltre due anni. Sono esattamente il tipo di incoerenza silenziosa e sistemica che si nasconde nel software maturo e ampiamente distribuito" — Miggo Security

Due anni di esposizione: il rischio di incoerenze sistemiche

La durata della finestra di esposizione, oltre due anni, è il dato che Miggo Security sottolinea come più significativo dal punto di vista del processo. La versione 3.13.0, che ha introdotto il codice vulnerabile, è stata rilasciata all'inizio del 2024. Da allora il broker ha attraversato più cicli di release senza che l'anomalia fosse rilevata da audit interni, contributori della community o strumenti di analisi automatica.

Miggo Security ha identificato la falla attraverso la propria piattaforma autonoma di ricerca VulnHunter. Secondo l'interpretazione di DeafNews, la natura del bug — un endpoint funzionalmente obsoleto che conserva accesso a materiale crittografico sensibile — solleva questioni sulla capacità degli strumenti di security scanning tradizionali di individuare incoerenze architetturali in codebase mature. Il brief non specifica motivazioni sul perché la vulnerabilità sia rimasta non rilevata.

CSO Online ha notato che Broadcom/Tanzu, distributore commerciale di RabbitMQ, non ha risposto alle richieste di commento sulla pubblicazione dell'advisory. Il dossier non specifica la data esatta della segnalazione da parte di Miggo ai maintainer del progetto, né la forma di disclosure che ha preceduto l'annuncio pubblico del 13 luglio.

Il ruolo del broker nell'architettura software

I ricercatori di Miggo hanno descritto RabbitMQ come "l'impianto idraulico che sposta dati tra servizi all'interno delle applicazioni moderne: ordini, pagamenti, eventi di autenticazione, notifiche interne". Questa metafora, riportata da CSO Online, illustra la posizione del broker nell'architettura software.

Un attaccante che ottenga un token amministrativo attraverso la catena CVE-2026-5721 acquisisce la capacità di impersonare il broker presso il provider di identità. Il brief supporta le capacità di "impersonare il broker" e "ottenere un token amministratore". La fonte non specifica conseguenze ulteriori su routing key, binding o intercettazione di flussi.

Cosa fare adesso

Le azioni prioritarie per gli operatori di infrastrutture RabbitMQ, desumibili dai fatti documentati, sono le seguenti:

Verificare la versione installata e applicare l'aggiornamento alle release corrette: 4.3.0, 4.2.6, 4.1.11, 4.0.20 o 3.13.15, secondo quanto riportato da The Cyber Express
Confermare che il management plugin sia disattivato dove non essenziale, o che la porta di gestione non sia esposta a reti non attendibili
Verificare la presenza di un client secret OAuth configurato: i sistemi privi di tale configurazione non sono affetti dalla vulnerabilità
Rivedere i log di accesso alla porta di gestione per identificare richieste anomale all'endpoint /api/auth nel periodo pre-patching

La correzione implementata da RabbitMQ, secondo CSO Online, ha rimosso l'endpoint obsoleto e introdotto un meccanismo di bootstrap autenticato per la configurazione OAuth.

Chiusura editoriale

CVE-2026-5721 si inserisce in una categoria di vulnerabilità che i team di sicurezza trovano particolarmente insidiosa: non richiede exploit sofisticati, non dipende da condizioni di corsa o corruzione di memoria, ma sfrutta un endpoint rimasto attivo oltre la sua utilità funzionale. Il dato che abbia attraversato oltre due anni di release senza essere individuato — in un progetto con oltre 15 milioni di download annuali secondo le stime di Miggo — indica un gap nel processo di review architetturale più che nel testing di sicurezza convenzionale.

Il mancato rilascio di un advisory ufficiale da parte di Broadcom/Tanzu al momento della disclosure pubblica lascia gli operatori a fare affidamento esclusivamente sulla ricerca di Miggo Security per la valutazione del rischio. Le fonti citate sono editoriali e convergono sui dati della stessa ricerca.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti