FICHE CVE

CVE-2016-9877

Publiée le 2016-12-29 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs RabbitMQ versions 3.x (antérieures à 3.5.8/3.6.6) et les versions PCF associées sont concernés s'ils utilisent le plugin MQTT. Un attaquant peut contourner l'authentification et obtenir un accès complet au système en fournissant simplement un nom d'utilisateur valide tout en omettant totalement le mot de passe. Cette exploitation est facile à exécuter à distance via le réseau et ne nécessite ni authentification préalable ni interaction de l'utilisateur.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Contrôle d'accès incorrect · CWE-284

Publiée2016-12-29

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in Pivotal RabbitMQ 3.x before 3.5.8 and 3.6.x before 3.6.6 and RabbitMQ for PCF 1.5.x before 1.5.20, 1.6.x before 1.6.12, and 1.7.x before 1.7.7. MQTT (MQ Telemetry Transport) connection authentication with a username/password pair succeeds if an existing username is provided but the password is omitted from the connection request. Connections that use TLS with a client-provided certificate are not affected.