MQTTバージョン3.1/3.1.1互換のメッセージブローカーmosquittoで、いくつかの問題が見つかりました。

CVE-2017-7655

MosquittoライブラリにNull間接参照脆弱性があるため、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

CVE-2018-12550

ステートメントのないACLファイルが、デフォルトの許可ポリシーに従うものとして扱われていました。空のACLファイルの新しい動作は、アクセス拒否のデフォルトポリシーです。（すべての新しいリリースに準拠）

CVE-2018-12551

パスワードファイルの無効な形式の認証データにより、クライアントが認証を回避し、ブローカーへのアクセス権を取得する可能性があります。

CVE-2019-11779

約65400個以上の「/」文字で構成されるトピックを含む、細工されたSUBSCRIBEパケットを処理するための修正。（TOPIC_HIERARCHY_LIMITを200に設定）

Debian 8「Jessie」では、これらの問題はバージョン1.3.4-2+deb8u4で修正されました。

お使いのmosquittoのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

1.6.7 =====

Broker：

  - libwebsocketsで作業するための回避策を追加します3.2.0。

  - 構成をリロードする際の潜在的なクラッシュを修正します。

クライアントライブラリ：

  -トピックとの混同を避けるため、自動生成されたクライアントIDで/を使用しないでください。

  - mosquitto_max_inflight_messages_set()およびmosquitto_int_option（...、MOSQ_OPT_*_MAX、...）の挙動を修正します。

  - mosquitto_connect_async()使用時の回帰を修正します

クライアント：

  - mosquitto_sub：- dも指定されていない限り、-Eが不適切に動作しないように修正します。

  - 自動クライアントIDに関するドキュメントを更新しました。

1.6.6 =====

セキュリティ：

  - CVE-2019-11779

  -トピック階層を200レベルに制限し、スタックオーバーフローの可能性を回避します。

Broker：

  - トピック階層を200レベルに制限し、スタックオーバーフローの可能性を回避します。

  - mosquitto_passwdが、存在しないユーザーの更新を試みたときに1を返すようになりました。

1.6.5 =====

Broker：

  - 残りの長さ== 2がプロトコルエラーとして扱われる、v5 DISCONNECTパケットを修正します。

  - libwebsocketsのサポートを修正します 3.x。

  - 大きなメッセージを送信する際のwebsocketのパフォーマンス低下を修正します。

  - Windowsで接続しない可能性のあるブリッジを修正します。

  -「use_identity_as_username」または「use_subject_as_username」を使用して認証されたクライアントが、SIGHUPで切断されるのを修正します。

  - クライアントが切断する状況でのエラーメッセージを改善します。「クライアントXのソケットエラー、切断」メッセージの数が減少します。

  - 遅延間隔がセッションの有効期限間隔よりも大きい場合、v5クライアントのWillが送信されない問題を修正します。

  - CRLファイルがHUPでリロードされないことを修正します。

  - websocketリスナーのみが定義されている場合に、Windowsで繰り返し発生する「Error in poll」メッセージを修正します。

クライアントライブラリ：

  - 接続が拒否されるのではなくドロップされる状況での再接続のバックオフを修正します。

  -「mosq->state」でのロック欠落を修正します。

ドキュメント：

  - mosquitto.conf manページのリスナーオプションであるglobal/perの詳細を改善します。

  - クライアントが「message_size_limit」を超えたときの動作を明確にします。

  -「max_inflight_bytes」、「max_inflight_messages」、「max_queued_messages」のドキュメントを改善します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

MQTTバージョン3.1/3.1.1と互換性のあるメッセージブローカーであるmosquittoに脆弱性が見つかりました。これにより、悪意のあるMQTTクライアントが非常に深い階層を持つトピックを含む特別に細工されたSUBSCRIBEパケットを送信することにより、サービス拒否（スタックオーバーフローとデーモンクラッシュ）を引き起こす可能性があります。

Mosquittoが、特別に細工された特定の入力とネットワークパケットを不適切に処理することがわかりました。リモートの攻撃者がこれを悪用して、サービス拒否を引き起こす可能性があります。注意：Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このmosquittoの更新では次の問題を修正します：

  - CVE-2019-11779：スタックオーバーフローを引き起こす可能性のあるSUBSCRIBEパケットの不十分な解析を修正しました（bsc#1151494）。

1.6.7 =====

Broker：

  - libwebsocketsで作業するための回避策を追加します3.2.0。

  - 構成をリロードする際の潜在的なクラッシュを修正します。

クライアントライブラリ：

  -トピックとの混同を避けるため、自動生成されたクライアントIDで/を使用しないでください。

  - mosquitto_max_inflight_messages_set()およびmosquitto_int_option（...、MOSQ_OPT_*_MAX、...）の挙動を修正します。

  - mosquitto_connect_async()使用時の回帰を修正します。

クライアント：

  - mosquitto_sub：-　dも指定されていない限り、-Eが不適切に動作しないように修正します。

  -　自動クライアントIDに関するドキュメントを更新しました。

1.6.6 =====

セキュリティ：

  - CVE-2019-11779

  -トピック階層を200レベルに制限し、スタックオーバーフローの可能性を回避します。

Broker：

  - トピック階層を200レベルに制限し、スタックオーバーフローの可能性を回避します。

  - mosquitto_passwdが、存在しないユーザーの更新を試みたときに1を返すようになりました。

1.6.5 =====

Broker：

  - 残りの長さ== 2がプロトコルエラーとして扱われる、v5 DISCONNECTパケットを修正します。

  - libwebsocketsのサポートを修正します3.x。

  - 大きなメッセージを送信する際のwebsocketのパフォーマンス低下を修正します。

  - Windowsで接続しない可能性のあるブリッジを修正します。

  -「use_identity_as_username」または「use_subject_as_username」を使用して認証されたクライアントが、SIGHUPで切断されるのを修正します。

  - クライアントが切断する状況でのエラーメッセージを改善します。「クライアントXのソケットエラー、切断」メッセージの数が減少します。

  - 遅延間隔がセッションの有効期限間隔よりも大きい場合、v5クライアントのWillが送信されない問題を修正します。

  - CRLファイルがHUPでリロードされないことを修正します。

  - websocketリスナーのみが定義されている場合に、Windowsで繰り返し発生する「Error in poll」メッセージを修正します。

クライアントライブラリ：

  - 接続が拒否されるのではなくドロップされる状況での再接続のバックオフを修正します。

  -「mosq->state」でのロック欠落を修正します。

ドキュメント：

  - mosquitto.conf manページのリスナーオプションであるglobal/perの詳細を改善します。

  - クライアントが「message_size_limit」を超えたときの動作を明確にします。

  -「max_inflight_bytes」、「max_inflight_messages」、「max_queued_messages」のドキュメントを改善します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130285	Debian DLA-1972-1 : mosquittoセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
129633	Fedora 30：mosquitto（2019-8b83c261dd）	Nessus	Fedora Local Security Checks	2019/10/7	2024/4/19	medium
131087	Debian DSA-4570-1：mosquitto - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/11/18	2024/4/11	medium
129290	Ubuntu 19.04：Mosquittoの脆弱性（USN-4137-1）	Nessus	Ubuntu Local Security Checks	2019/9/24	2024/4/23	medium
129652	Fedora 29：mosquitto（2019-d99e2329cb）	Nessus	Fedora Local Security Checks	2019/10/7	2024/4/19	medium
129458	openSUSEセキュリティ更新プログラム：mosquitto（openSUSE-2019-2206）	Nessus	SuSE Local Security Checks	2019/9/30	2024/4/22	medium
129616	Fedora 31：mosquitto（2019-4c69fb4cd7）	Nessus	Fedora Local Security Checks	2019/10/7	2024/4/19	medium

検出

プラグインの検索

high

medium

medium

medium

medium

medium

medium