CVE-2026-67408 RabbitMQコンテナDoS脆弱性注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
RabbitMQの特定バージョン（4.1.0～4.3.3、4.2.9、4.1.11）において、Stream ManagementのSuper-Streamバインディングキー処理に不具合があり、認証済みの低権限ユーザーがHTTP PUTリクエストを送信することで、メモリ制限されたコンテナのDoSが可能となる脆弱性が報告されています。攻撃者はbinding-keysパラメータを含むJSONボディを送信し、リソース権限チェック前に大規模な一時メモリ割り当てを強制できるため、768MBのメモリ制限環境では1回のリクエストでコンテナが停止する可能性があります。影響を受ける環境では、RabbitMQのバージョンを修正済みの4.3.3、4.2.9、4.1.11以上にアップグレードし、管理APIのアクセス制限を確認する必要があります。確認時は、PUT /api/stream/super-streams/{vhost}/{name}エンドポイントの使用状況とユーザー権限の設定を点検し、不要なアクセスを制限してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問うがよい。低権限ユーザーが一時的なメモリ暴走を引き起こすという点で、この問題は「権限と責任の不均衡」を象徴している。だが、あなたはこの状況をどう見ているか？
師よ、確かに哲学的問いに値するが、現実には管理者としての行動が必要です。まず、Linux運用者であれば、RabbitMQのバージョンを確認するべきです。CVEに記載されている影響範囲のバージョン（4.1.0～4.3.3など）に該当するかを、`rabbitmq-plugins list`や`rpm -q rabbitmq-server`などで確認する必要があります。また、管理APIのエンドポイント`PUT /api/stream/super-streams/{vhost}/{name}`が使われているか、`curl -X PUT http://localhost:15672/api/stream/super-streams//my-stream`のようなテストを実施してみるべきでしょう。
では、この脆弱性が「倫理的リスク」を生むのはなぜか？
師がおっしゃる「倫理的リスク」は、現実では「運用上のリスク」に翻訳されます。例えば、Dockerで動作するRabbitMQのコンテナが768MBメモリ制限されている場合、攻撃者が4.5MBのJSONボディを送信するだけでコンテナが停止します。このため、Linux運用者は「変更管理」の観点から、パッチ適用後の再起動や、`docker stats`でメモリ使用量を監視する必要があります。また、`/etc/rabbitmq/rabbitmq.conf`で`management.listener.http`のアクセス制限を再確認し、不要なIPやユーザーのアクセスを遮断するべきです。
では、この問題の「哲学的教訓」は？
教訓は「抽象的な理論より、具体的な手順が重要だ」ということです。ベンダーの情報確認では、CVE-2026-67408の修正バージョン（4.3.3、4.2.9、4.1.11以上）が適用されているかを、`rabbitmqctl version`で確認しましょう。また、影響調査では、`/var/log/rabbitmq/rabbitmq.log`に`binding-keys`パラメータのエラーが記録されているかをチェックし、不正なリクエストの履歴を分析する必要があります。
では、この脆弱性に対処するための「最善の道」は？
師よ、最善の道は「パッチ適用とアクセス制限の二重の防衛」です。修正バージョンへのアップグレードと、`PUT`リクエストを許可するユーザーの権限を`configure`や`write`の権限を持たないよう再設定するべきです。また、監視ツールで`binding-keys`の異常なパラメータが送信されているかを検出する仕組みを構築すれば、リスクを最小限に抑えられます。そして、すべての変更は変更管理の文書化に記録し、後日レビュー可能な状態に保つことが肝要です。
では、この対話の結論は？
結論は、「哲学者が問いを立て、管理者が答えを実行する」ことです。この脆弱性は、技術的な問題より「運用の姿勢」が問われているのです。そして、4.5MBのJSONがコンテナを破壊するという事実を忘れずに、Linux運用者は日々の監視と準備に徹するべきです。
関連キーワード: bind, docker