CVE-2017-7650: ユーザー名/クライアントIDを「#」または「+」に設定するクライアントにより、パターンベースのACLがバイパスされる可能性があります。これにより、ローカルまたはリモートで接続されているクライアントは、権利を有するMQTTトピックにアクセスできます。同じ問題がMosquittoのサードパーティ認証/アクセス制御プラグインに存在する可能性があります。

この脆弱性は、パターンベースのACLが使用されている場合、またはサードパーティのプラグインが使用されている場合にのみ有効になります。

Debian 7「Wheezy」では、これらの問題はバージョン0.15-2+deb7u1で修正されました。

お使いのmosquittoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-961-1: mosquittoセキュリティ更新

medium Nessus プラグイン ID 100513

変更ログが見つかりません