远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2016:0369 公告中提及的多个漏洞的影响。

    RabbitMQ 是 AMQP 的实现，后者是高性能企业消息传递的新标准。RabbitMQ 服务器是可靠且可扩展的 AMQP 代理的实现。

    在 RabbitMQ 中发现一个跨站脚本漏洞，该漏洞能让攻击者使用 api/ 路径信息注入和接收数据。远程攻击者可利用此缺陷创建 /api/... URL，强制执行服务器错误，导致服务器返回包含 URL 中嵌入文本（未转义）的 HTML 页面。(CVE-2014-9649)

    在 RabbitMQ 中发现响应拆分漏洞。
    可能指定 /api/definitions URL，然后导致返回任意附加标头。远程攻击者可能利用此缺陷注入任意 HTTP 标头并获取对安全数据的访问权限。
    (CVE-2014-9650)

    此更新还修复以下缺陷：

    * 此前，如果在使用 HA 和“auto_delete”队列时 rabbit_mirror_queue_master 未返回，RabbitMQ 服务器会在终止时阻断通道。这些通道随后将没有关联的连接，并显示为“未知”。此问题已得到解决。(BZ#1303748)

    建议所有 rabbitmq-server 用户升级到这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 7：rabbitmq-server (RHSA-2016:0369)

medium Nessus 插件 ID 234367

未找到变更日志