CVE-2026-77405
Publiée le 2026-09-16 · Dernière modification le 2026-09-24
Les applications utilisant la bibliothèque client `amqp091-go` pour se connecter à RabbitMQ peuvent négocier des versions de TLS obsolètes et non sécurisées (1.0 ou 1.1) si le runtime Go les autorise. Un attaquant réseau capable d'intercepter la connexion peut exploiter cette faille pour rétrograder le chiffrement, permettant potentiellement l'interception de messages AMQP et d'identifiants sensibles. Cela nécessite que l'attaquant soit en position d'influencer la négociation TLS (comme lors d'une attaque de l'homme du milieu) et ne constitue pas un exploit distant direct.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
RabbitMQ amqp091-go is a Go AMQP 0.9.1 client. Prior to 1.13.0, tlsConfigFromURI in uri.go creates tls.Config values without setting MinVersion to tls.VersionTLS12. Builds using a Go runtime whose default permits TLS 1.0 or TLS 1.1 can therefore negotiate an obsolete protocol version when connecting through an amqps URI. A network attacker able to influence TLS negotiation with such a legacy build may weaken transport protection for AMQP messages and credentials. This issue is fixed in version 1.13.0.