遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5511 公告中提及的多個弱點影響。

  - 在 Eclipse Mosquitto 2.0 至 2.0.11 版中，使用動態安全性 plugin 時，如果在持久用戶端離線的情況下撤銷用戶端訂閱某主題的能力，則不會撤銷該用戶端的現有訂閱。(CVE-2021-34434)

  - 在 Eclipse Mosquitto 1.6 至 2.0.11 版中，連線至大量使用者內容屬性的 MQTT v5 用戶端可造成過高的 CPU 使用率，進而導致缺乏效能並可能發生拒絕服務。(CVE-2021-41039)

  - 在 Eclipse Mosquitto 1.3.2 至 2.0.16 之前的 2.x 版 broker 中，存在記憶體洩漏問題，當用戶端傳送許多含有重複訊息 ID 的 QoS 2 訊息，且無法回應 PUBREC 命令時，可從遠端濫用此問題。發生此問題的原因是不當處理來自 libc send 函式的 EAGAIN。
    (CVE-2023-28366)

  - 2.0.17 Broker：* 修正「max_queued_messages 0」，使用戶端無法接收訊息 * 修正未正確設定的「max_inflight_messages」。應用程式：* 修正「mosquitto_passwd -U」備份檔案建立。
    2.0.16 安全性：* CVE-2023-28366：修正當用戶端傳送多個具有相同訊息 ID 的 QoS 2 訊息，但隨後從未回應 PUBREC 命令時，代理人中發生的記憶體洩漏。* CVE-2023-0809：修正根據非 CONNECT 封包的惡意初始封包配置的過度記憶體。* CVE-2023-3592：
    修正用戶端傳送遺願訊息中包含無效內容類型的 v5 CONNECT 封包時發生的記憶體洩漏問題。* Broker 現會拒絕嘗試發布至 $CONTROL/ 的 Will 訊息。* Broker 現可驗證 TLS 憑證或 TLS-PSK 身分中提供的使用者名稱是否為有效的 UTF-8。* 修正載入無效持續性檔案時可能發生的當機。* 程式庫將不再允許單一層級萬用字元憑證，例如
    *.com Broker：* 修正 $SYS 訊息在 60 秒後過期而導致未變更的值消失的問題。* 修正使用後未立即清除某些保留的主題記憶體。* 修正與「bind_interface」選項相關的錯誤處理。* 修正在程序化 (構建已移除宣告) 時 std* 檔案未重新導向的問題。* 修正未正確允許 TLS v1.1 的預設設定。* 針對 stdout 使用行緩沖模式。關閉 #2354。* 修正具有不相符 cleansession/local_cleansession 的橋接器，該橋接器會在從持續性還原後開始時到期。* 修正在 Windows 上限制為 2048 的連線。在支援的情況下，現在的限制為 8192。* 如果敏感檔案是任何人皆可讀取/寫入，或者擁有者/群組與執行 Broker 的使用者/群組不同，Broker 會記錄警告。在未來版本中，代理程式將拒絕開啟這些檔案。* mosquitto_memcmp_const 現在多是常數時間。* 如果已啟用 DLT 記錄，則僅使用 DLT 註冊。* 修正 json 字串可能未正確載入的任何情況。僅在從檔案載入 dynsec 組態時，如果角色的文字名稱或文字描述欄位不是字串，這可造成當機。* Dynsec plugin 在從檔案載入組態時，將不允許重複的用戶端/群組/角色，其符合建立時的行為。* 修正使用 log_dest 檔案讀取損毀組態時的堆積溢位。用戶端程式庫：* 使用可用的 CLOCK_BOOTTIME 追踪時間。這可解決用戶端 OS 睡眠的問題，以及用戶端因此無法計算 keepalive 用途的實際時間的問題。* 修正未正確允許 TLS v1.1 的預設設定。* 修正慢速 TLS 連線時高 CPU 使用率的問題。用戶端：* 修正 mosquitto_sub json 輸出中不正確的主題別名內容值。* 修正 TLS 憑證驗證時令人混淆的訊息。應用程式：* mosquitto_passwd 使用 mkstemp() 進行備份檔案。*「mosquitto_ctrl dynsec init」將拒絕覆寫沒有爭用情形的現有檔案。(CVE-2023-0809、 CVE-2023-3592)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5511-1：mosquitto - 安全性更新

medium Nessus Plugin ID 182418

版本 1.0