RabbitMQ 是一个消息传递和流媒体代理。在 3.13.7 及之前版本中，RabbitMQ 会使用以 base64 编码的纯文本记录授权标头。在使用基本认证通过 HTTP/s 查询 RabbitMQ api 时，它会创建包含请求中所有标头的日志，包括显示以 base64 编码的 username:password 的授权标头。这易于解码，之后可用于根据凭据获取对系统的控制权。已在版本 4.0.8 中修补此问题。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RabbitMQ < 3.13.8 (GHSA-gh3x-4x42-fvq8)

medium Nessus 插件 ID 240739

版本 1.5