Una falla en RabbitMQ permite a atacantes obtener secretos OAuth sin autenticación, comprometiendo el control de sistemas empresariales críticos.
Una vulnerabilidad crítica en RabbitMQ, un popular broker de mensajes de código abierto, permite a atacantes no autenticados acceder al secreto OAuth confidencial del broker, lo que podría derivar en el control total del sistema afectado.
Por qué importa: Esta falla expone datos sensibles que facilitan la suplantación de identidad y el acceso administrativo, poniendo en riesgo la integridad de comunicaciones empresariales.
Lo esencial
La vulnerabilidad CVE-2026-5721 afecta un endpoint de gestión obsoleto que revela el secreto OAuth sin requerir autenticación.
Permite a atacantes obtener tokens administrativos y controlar usuarios, mensajes y configuraciones del broker.
Fue introducida en RabbitMQ 3.13.0 y corregida en versiones 4.3.0, 4.2.6, 4.1.11, 4.0.20 y 3.13.15.
Imagen de referencia: SecurityWeek.
Fallo en endpoint de gestión expone secretos OAuth
El problema radica en un endpoint antiguo de la interfaz web de gestión de RabbitMQ que devuelve el secreto OAuth a cualquier solicitante sin autenticación previa. Esto ocurre cuando el administrador configura un secreto confidencial para la autenticación con proveedores de identidad como Auth0, Azure AD/Entra ID, Keycloak o UAA.
El secreto OAuth es fundamental para validar la identidad del broker ante el proveedor, por lo que su exposición permite a un atacante hacerse pasar por el broker y obtener un token de administrador.
Impacto en entornos empresariales y multiinquilino
Con el token administrativo, un atacante puede manipular usuarios, mensajes, colas y configuraciones del broker, afectando la comunicación interna de aplicaciones críticas. El riesgo es especialmente alto en entornos multiinquilino o en configuraciones donde el puerto de gestión está accesible desde redes no confiables, como la nube o interfaces expuestas accidentalmente a Internet.
Además, otra vulnerabilidad de menor gravedad (CVE-2026-57221) permite a usuarios autenticados enumerar colas y obtener estadísticas, facilitando el reconocimiento de la infraestructura para futuros ataques.
Medidas para mitigar la amenaza
Las organizaciones deben actualizar RabbitMQ a las versiones que corrigen estas vulnerabilidades. En caso de no poder parchear inmediatamente, se recomienda bloquear el acceso al puerto de gestión desde redes no confiables, evitar exponer la interfaz de administración a Internet y rotar el secreto OAuth.
RabbitMQ sin plugin de gestión o sin secreto configurado no está afectado. Hasta ahora no hay evidencia de explotación activa en entornos reales.
Preguntas frecuentes sobre la vulnerabilidad en RabbitMQ
¿Qué versiones de RabbitMQ están afectadas?
La vulnerabilidad fue introducida en la versión 3.13.0 y está corregida en las versiones 4.3.0, 4.2.6, 4.1.11, 4.0.20 y 3.13.15.
¿Qué riesgos implica la exposición del secreto OAuth?
Permite a atacantes obtener tokens administrativos para controlar usuarios, mensajes y configuraciones del broker, comprometiendo la seguridad de las comunicaciones empresariales.
