mosquitto's persistence file (mosquitto.db) was created in a world-readable way thus allowing local users to obtain sensitive MQTT topic information. While the application has been fixed to set proper permissions by default, you still have to manually fix the permissions on any existing file.

For Debian 7 'Wheezy', these problems have been fixed in version 0.15-2+deb7u2.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

mosquitto 的持久性文件 (mosquitto.db) 以全局可读的方式创建，因此允许本地用户获取敏感的 MQTT 主题信息。虽然已将应用程序修复为默认设置适当的权限，但您仍然必须手动修复任何现有文件的权限。对于 Debian 7“Wheezy”，这些问题已在 0.15-2+deb7u2 版本中修复。建议您升级 mosquitto 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

mosquittoの永続性ファイル（mosquitto.db）は、誰でも読み取ることができる方法で作成されていたため、ローカルのユーザーは、機密性の高いMQTTトピック情報を入手することができます。アプリケーションがデフォルトで適切な権限を設定するように修正されましたが、既存ファイルの権限を手動で修正する必要があります。

Debian 7「Wheezy」では、これらの問題はバージョン0.15-2+deb7u2で修正されました。

お使いのmosquittoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

任何人皆可讀取所建立的 mosquitto 持續性檔案 (mosquitto.db)，使得本機使用者可藉此取得敏感的 MQTT 主題資訊。即使應用程式預設為會固定設定適當的權限，您還是必須手動修正所有現有檔案的權限。針對 Debian 7「Wheezy」，這些問題已在 0.15-2+deb7u2 版本中修正。建議您升級 mosquitto 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Fix CVE-2017-9868 (rhbz#1464946)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2017-9868を修正します（rhbz#1464946）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-7653

As invalid UTF-8 strings are not correctly checked, an attacker could cause a denial of service to other clients by disconnecting them from the broker with special crafted topics.

CVE-2017-7654

Due to a memory leak unauthenticated clients can send special crafted CONNECT packets which could cause a denial of service in the broker.

CVE-2017-9868

Due to wrong file permissions local users could obtain topic information from the mosquitto database.

For Debian 8 'Jessie', these problems have been fixed in version 1.3.4-2+deb8u3.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2017-7653

由于未正确检查无效的 UTF-8 字符串，攻击者可通过特别构建的主题来断开其他客户端与代理的连接，造成拒绝服务。

CVE-2017-7654

 由于内存泄露，未经身份验证的客户端可能会发送特别的 CONNECT 数据包，从而造成代理拒绝服务。

CVE-2017-9868

由于错误的文件权限，本地用户可能会从 mosquitto 数据库中获取主题信息。

对于 Debian 8“Jessie”，这些问题已在 :4-2+deb8u3 版本中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

CVE-2017-7653

因為未正確檢查無效的 UTF-8 字串，攻擊者可能會透過特製主題中斷它們與代理程式的連線，進而造成對其他用戶端拒絕服務。

CVE-2017-7654

因為記憶體流失，未經驗證的用戶端可傳送特製的 CONNECT 封包，進而在代理程式中導致拒絕服務。

CVE-2017-9868

因為錯誤的檔案權限，本機使用者可以從 mosquitto 資料庫中取得主題資訊。

針對 Debian 8「Jessie」，已在 1.3.4-2+deb8u3 版本中修正這些問題。

建議您升級 mosquitto 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-7653

無効なUTF-8文字列が正しくチェックされないため、攻撃者は特別な細工をしたトピックでブローカーから切断することで、他のクライアントにサービス拒否を引き起こす可能性があります。

CVE-2017-7654

メモリリークにより、認証されていないクライアントが特別に細工されたCONNECTパケットを送信し、ブローカーでサービス拒否を引き起こす可能性があります。

CVE-2017-9868

ファイルのアクセス許可が間違っているため、ローカルユーザーがmosquittoデータベースからトピック情報を入手する可能性があります。

Debian 8 'Jessie'では、これらの問題はバージョン1.3.4-2+deb8u3で修正されました。

お使いのmosquittoのパッケージをアップグレードすることを推奨します。

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
104185	Debian DLA-1146-1 : mosquitto security update	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
104185	Debian DLA-1146-1：mosquitto 安全更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
104185	Debian DLA-1146-1: mosquittoセキュリティ更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
104185	Debian DLA-1146-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
101507	Fedora 24 : mosquitto (2017-749f4c7d2a)	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/6	medium
101729	Fedora 26 : mosquitto (2017-d76189b06d)	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	medium
101507	Fedora 24：mosquitto（2017-749f4c7d2a）	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/6	medium
101729	Fedora 26：mosquitto（2017-d76189b06d）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	medium
101508	Fedora 25 : mosquitto (2017-79886ea453)	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/6	medium
117835	Debian DLA-1525-1 : mosquitto security update	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
117835	Debian DLA-1525-1：mosquitto 的安全更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
117835	Debian DLA-1525-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
101508	Fedora 25：mosquitto（2017-79886ea453）	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/6	medium
117835	Debian DLA-1525-1: mosquitto セキュリティ更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium