NoticiasNews

Fallas en RabbitMQ exponen secretos OAuth y ponen en riesgo la mensajería empresarialRabbitMQ Flaws Expose OAuth Secrets and Put Enterprise Messaging at Risk

2026-07-20

Investigadores de ciberseguridad revelaron dos vulnerabilidades en el servicio de mensajería empresarial RabbitMQ que podrían comprometer por completo la infraestructura de mensajería de una organización. La más grave, CVE-2026-57219 (CVSS 8.7), reside en un endpoint obsoleto de la interfaz de administración web que devuelve el secreto de cliente OAuth a cualquiera que pueda alcanzarlo, sin necesidad de autenticarse.

En configuraciones que usan un proveedor de identidad OAuth 2 / OIDC —como Auth0, Azure AD/Entra ID, Keycloak o UAA, el estándar en la mayoría de los entornos empresariales—, un atacante que obtenga ese secreto puede hacerse pasar por el propio broker frente al proveedor de identidad y conseguir un token de administrador, con control total sobre usuarios, mensajes, colas y configuración.

La segunda falla: fuga de datos entre clientes

La segunda vulnerabilidad, CVE-2026-57221 (CVSS 5.3), es un fallo de autorización que permite a cualquier usuario autenticado que pueda conectarse a un virtual host enumerar todas las colas y exchanges, y leer sus contadores de mensajes y consumidores, sin importar los permisos que realmente tenga asignados. En arquitecturas cloud o multiusuario, esto rompe el aislamiento entre clientes (tenants) que las empresas dan por garantizado.

Alcance y remediación

  • Ambas fallas están presentes desde principios de 2024 en las líneas de versión 3.13.0 en adelante.
  • Fueron corregidas en las versiones 4.3.0, 4.2.6, 4.1.11, 4.0.20 y 3.13.15.
  • No hay evidencia de explotación activa antes de la divulgación pública, pero el riesgo es alto en cualquier entorno donde el puerto de administración sea accesible desde una red no confiable.

RabbitMQ es una pieza central en arquitecturas empresariales que integran sistemas dispares: colas de tickets, notificaciones, procesamiento de pagos y sincronización entre plataformas. Una filtración de este tipo no solo compromete un servicio aislado, sino potencialmente toda la cadena de integraciones que depende de él. Para empresas que construyen soporte multicanal o flujos de cumplimiento sobre integraciones de mensajería, este incidente es un recordatorio de que la seguridad de la infraestructura subyacente es tan crítica como la de las aplicaciones que la usan. En TEKFENIX, tanto Servigo365 como CumplimientoControl se diseñan sobre principios de arquitectura segura y trazabilidad de integraciones, precisamente para que este tipo de fallas en componentes de terceros se detecten y contengan antes de convertirse en una brecha mayor.

Cybersecurity researchers have disclosed two vulnerabilities in the RabbitMQ enterprise messaging service that could fully compromise an organization's messaging infrastructure. The more severe one, CVE-2026-57219 (CVSS 8.7), lies in an obsolete endpoint of the web management interface that returns the OAuth client secret to anyone who can reach it, without requiring authentication.

In configurations that use an OAuth 2 / OIDC identity provider — such as Auth0, Azure AD/Entra ID, Keycloak, or UAA, the standard across most enterprise environments — an attacker who obtains that secret can impersonate the broker itself to the identity provider and obtain an administrator token, gaining full control over users, messages, queues, and broker settings.

The second flaw: cross-tenant data leakage

The second vulnerability, CVE-2026-57221 (CVSS 5.3), is a missing-authorization flaw that lets any authenticated user who can connect to a virtual host enumerate all queue and exchange names and read their message and consumer counts, regardless of their actual assigned permissions. In cloud or multi-tenant architectures, this breaks the tenant isolation that businesses take for granted.

Scope and remediation

  • Both flaws have been present since early 2024 across the 3.13.0 and later release lines.
  • They were fixed in versions 4.3.0, 4.2.6, 4.1.11, 4.0.20, and 3.13.15.
  • There is no evidence of active exploitation prior to public disclosure, but the risk is high in any environment where the management port is reachable from an untrusted network.

RabbitMQ is a central piece of enterprise architectures that integrate disparate systems: ticket queues, notifications, payment processing, and cross-platform synchronization. A leak like this doesn't just compromise an isolated service — it potentially exposes the entire chain of integrations that depends on it. For companies building multichannel support or compliance workflows on top of messaging integrations, this incident is a reminder that the security of the underlying infrastructure matters as much as that of the applications that use it. At TEKFENIX, both Servigo365 and CumplimientoControl are built on secure architecture principles and integration traceability, precisely so that flaws like this one in third-party components get detected and contained before becoming a larger breach.

← Volver al blog← Back to blog