Kurzfassung
Die Go-Bibliothek amqp091-go für AMQP 0.9.1 enthält vor Version 1.13.0 drei kritische Schwachstellen: CVE-2026-77405, CVE-2026-77408 und CVE-2026-77411. Besonders relevant ist CVE-2026-77411 mit CVSS 9.5, kritisch; alle drei Lücken lassen sich laut NVD über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion ausnutzen. Für Unternehmen im DACH-Raum ist das vor allem dort dringlich, wo interne oder externe Go-Dienste RabbitMQ über diese Bibliothek anbinden.
Was ist passiert?
Betroffen ist nicht der RabbitMQ-Server selbst, sondern die Go-Clientbibliothek amqp091-go, die Anwendungen für die Anbindung an AMQP- und RabbitMQ-Infrastrukturen verwenden. Die Fehler sitzen in der Verarbeitung von Verbindungs- und Protokolldaten innerhalb der Bibliothek.
CVE-2026-77405 betrifft die TLS-Konfiguration bei Verbindungen über amqps-URIs. In älteren Builds kann die Bibliothek TLS 1.0 oder TLS 1.1 zulassen, wenn die zugrunde liegende Go-Laufzeit diese Protokolle standardmäßig noch erlaubt. Ein Angreifer, der die TLS-Aushandlung beeinflussen kann, könnte so den Schutz von Nachrichten und Zugangsdaten abschwächen.
CVE-2026-77408 betrifft die Serialisierung bestimmter AMQP-Metadatenfelder. Zu lange Werte werden offenbar nicht sauber zurückgewiesen, sondern mit gekürzter Länge und abgeschnittenem Inhalt geschrieben. Das kann Korrelations-IDs, Routing-Informationen, Tracing und die nachgelagerte Nachrichtenverarbeitung beschädigen, ohne dass die Anwendung zwingend einen Fehler sieht.
CVE-2026-77411 ist die schwerwiegendste der drei Meldungen. Ein manipuliertes oder kompromittiertes Gegenüber kann über ein fehlerhaft verarbeitetes longstr-Feld den Parser aus dem Tritt bringen. Danach interpretiert die Bibliothek nachfolgende Bytes an falscher Stelle, was Integrität und Verfügbarkeit der Verbindung gefährdet.
Technische Details
Die drei Schwachstellen sind in amqp091-go jeweils vor Version 1.13.0 behoben worden. Nach den NVD-Einträgen liegen die Einzelwerte bei CVSS 9.4 für CVE-2026-77405, CVSS 9.1 für CVE-2026-77408 und CVSS 9.5 für CVE-2026-77411; der höchste und damit prägnanteste Schwerewert ist CVSS 9.5, kritisch. Dieser Vektor bedeutet hier: Angriff über das Netzwerk, geringe Angriffskomplexität, keine Berechtigungen nötig und keine Nutzerinteraktion erforderlich. Der CVSS-Wert beschreibt die technische Schwere, nicht automatisch eine bereits beobachtete Ausnutzung in realen Umgebungen.
Bei CVE-2026-77405 wird in der TLS-Konfiguration keine Mindestversion TLS 1.2 gesetzt. Das ist vor allem dann problematisch, wenn Anwendungen mit älteren Go-Laufzeiten gebaut wurden und sich in Netzen bewegen, in denen ein Angreifer die Aushandlung beeinflussen kann.
Bei CVE-2026-77408 liegt der Fehler in der Behandlung sogenannter shortstr-Felder. Werte mit mehr als 255 Byte Länge werden demnach nicht konsequent als unzulässig verworfen. Stattdessen kann es zu stiller Datenkorruption kommen. Für Messaging-Systeme ist das heikel, weil schon beschädigte CorrelationId- oder ReplyTo-Felder Fachprozesse aushebeln können, obwohl die Verbindung technisch weiterläuft.
Bei CVE-2026-77411 wird ein übergroßes longstr nicht als Syntaxfehler behandelt. Die Bibliothek liefert stattdessen einen leeren String ohne Fehler zurück und liest die deklarierten Bytes nicht korrekt ab. Das verschiebt den Parser-Offset. Ein bösartiger Broker oder ein kompromittierter Kommunikationspartner kann dadurch nachfolgende Felder oder Frames in einen kontrollierten Fehlzustand bringen.
Wer ist betroffen?
Betroffen sind Go-Anwendungen, die die Bibliothek RabbitMQ amqp091-go in einer Version vor 1.13.0 einsetzen. Relevant ist das für Eigenentwicklungen, interne Integrationsdienste, Microservices, Worker, Messaging-Gateways und Automatisierungsplattformen, die AMQP 0.9.1 sprechen.
Für klassische RabbitMQ-Administratoren ist wichtig: Wer nur den Broker betreibt, aber keine eigenen Go-Clients mit amqp091-go entwickelt oder ausliefert, ist durch diese Meldung nicht direkt betroffen. Anders sieht es in Unternehmen aus, die AMQP in Middleware, ERP-Anbindungen, E-Commerce-Plattformen, Logistik-Workflows oder Event-getriebenen Architekturen nutzen. Dort sitzt das Risiko im Anwendungscode und in den ausgelieferten Builds.
Besonders prüfenswert sind Umgebungen mit vielen internen Diensten, alten Build-Pipelines oder Drittanbieter-Software, bei der die verwendeten Go-Abhängigkeiten nicht transparent dokumentiert sind.
Empfohlene Maßnahmen
Erstens: Prüfen Sie umgehend, ob in Ihren Go-Projekten oder ausgelieferten Artefakten amqp091-go in einer Version kleiner 1.13.0 enthalten ist. Das gilt auch für indirekte Abhängigkeiten in Modulen und Container-Images.
Zweitens: Aktualisieren Sie auf amqp091-go 1.13.0 oder neuer und bauen Sie die betroffenen Anwendungen neu. Ein bloßes Austauschen des Brokers reicht hier nicht aus, weil die Fehler in der Clientbibliothek liegen.
Drittens: Validieren Sie nach dem Update gezielt die Messaging-Funktionen, die Metadatenfelder wie CorrelationId, ReplyTo, MessageId, Expiration, UserId, AppId, ContentType, ContentEncoding oder Type verwenden. Gerade CVE-2026-77408 kann unauffällige Prozessfehler erzeugen, die erst in Fachabläufen sichtbar werden.
Viertens: Überprüfen Sie bei älteren Deployments die Go-Laufzeit und TLS-Vorgaben. Wenn Sie amqps nutzen, sollten Verbindungen mindestens TLS 1.2 erzwingen. Das mindert das Risiko aus CVE-2026-77405 zusätzlich auf Betriebsebene.
Fünftens: Behandeln Sie RabbitMQ-Broker und zwischengeschaltete Netzkomponenten als Vertrauensgrenze. CVE-2026-77411 zeigt, dass ein kompromittierter oder manipulierte Kommunikationspartner die Protokollverarbeitung stören kann. Netzsegmentierung, Härtung der Broker und konsequente Zugangskontrollen bleiben deshalb wichtig.
Sechstens: Führen Sie in CI/CD und Bestandsanalyse eine gezielte Abhängigkeitsprüfung auf die drei Kennungen CVE-2026-77405, CVE-2026-77408 und CVE-2026-77411 durch. Das ist vor allem für große Entwicklungsorganisationen sinnvoll, die dieselbe Bibliothek in mehreren Services wiederverwenden.
Einschätzung von CyberSecurity-News.de
Die technische Tragweite ist hoch, aber die praktische Relevanz hängt stark davon ab, ob Ihr Unternehmen amqp091-go überhaupt nutzt. Für die breite Masse der Leser ist das kein universeller Infrastruktur-Notfall. Für Teams mit Go-basierten RabbitMQ-Clients ist die Lage dagegen klar: zeitnah patchen, Abhängigkeiten prüfen, Builds erneuern.
Die Informationslage ist brauchbar, aber schmal. Die NVD nennt die Kernpunkte und die behobene Versionsgrenze 1.13.0, liefert jedoch naturgemäß keine Betriebsanleitung für betroffene Produkte von Drittanbietern. Genau dort liegt für viele Unternehmen das eigentliche Problem: Nicht jede Fachanwendung legt offen, welche Go-Module intern verwendet werden.
Auffällig ist, dass drei unterschiedliche Fehlerbilder zusammenkommen: geschwächte Transportabsicherung, stille Metadatenkorruption und Parser-Desynchronisation. Diese Kombination macht die Meldung relevanter als ein einzelner, eng umrissener Bug. Vor allem CVE-2026-77411 verdient Priorität, weil hier ein kompromittierter Broker die Verbindungsintegrität direkt angreifen kann.
Fazit
Wenn Sie amqp091-go einsetzen, sollten Sie sofort auf Version 1.13.0 oder neuer wechseln und die betroffenen Dienste neu ausrollen. Prüfen Sie danach gezielt TLS-Vorgaben, Message-Metadaten und die Stabilität Ihrer RabbitMQ-Kommunikation. Wer die Bibliothek nicht nutzt, muss aus dieser Meldung in der Regel keine akuten Maßnahmen ableiten.
