CVE-2026-77407
Publiée le 2026-09-16 · Dernière modification le 2026-09-16
Les applications utilisant le client RabbitMQ `amqp091-go` avant la version 1.13.0 stockent les mots de passe d'authentification en texte clair dans l'objet de connexion, même après la fin du processus de connexion. Un attaquant ou un processus malveillant disposant d'un accès local au système peut extraire ces identifiants de la mémoire, des journaux d'application ou des rapports d'erreur (crash dumps). Cela nécessite un accès local ainsi que la capacité d'exécuter du code ou des outils (tels que des débogueurs ou des agents de surveillance) sur l'hôte où le client est exécuté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
RabbitMQ amqp091-go is a Go AMQP 0.9.1 client. Prior to 1.13.0, PlainAuth values defined in auth.go retain passwords as exported plaintext fields in Connection.Config.SASL after a successful PLAIN authentication handshake. The Connection.openComplete method in connection.go does not clear those values. Code with access to the Connection object, including reflective loggers, application performance monitoring agents, debugging utilities, and panic handlers, can traverse the configuration and expose the credentials to logs or state captures. The credential remains available for the lifetime of the connection instead of being cleared after authentication. This issue is fixed in version 1.13.0.