It was discovered that Mosquitto broker incorrectly handled certain specially crafted input and network packets. A remote attacker could use this to cause a denial of service.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of Junos OS installed on the remote host is affected by multiple vulnerabilities as referenced in the JSA71655 advisory.

  - The Eclipse Mosquitto broker up to version 1.4.15 does not reject strings that are not valid UTF-8. A     malicious client could cause other clients that do reject invalid UTF-8 strings to disconnect themselves     from the broker by sending a topic string which is not valid UTF-8, and so cause a denial of service for     the clients. (CVE-2017-7653)

  - In Eclipse Mosquitto 1.4.15 and earlier, a Memory Leak vulnerability was found within the Mosquitto     Broker. Unauthenticated clients can send crafted CONNECT packets which could cause a denial of service in     the Mosquitto Broker. (CVE-2017-7654)

  - In Eclipse Mosquitto version from 1.0 to 1.4.15, a Null Dereference vulnerability was found in the     Mosquitto library which could lead to crashes for those applications using the library. (CVE-2017-7655)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It was discovered that mosquitto, an MQTT broker, was vulnerable to remote denial-of-service attacks that could be mounted using various vectors.

Mosquitto brokerが、特別に細工された特定の入力とネットワークパケットを不適切に処理することがわかりました。リモートの攻撃者がこれを悪用して、サービス拒否を引き起こす可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端主機上安裝的 Junos OS 版本受到 JSA71655 公告中提及的多個弱點影響。

  - 1.4.15 以及之前版本的 Eclipse Mosquitto 代理程式不會拒絕非有效 UTF-8 的字串。惡意用戶端可傳送非有效 UTF-8 的主題字串，造成會拒絕無效 UTF-8 字串的其他用戶端自行中斷其與代理程式的連線，進而造成用戶端拒絕服務。(CVE-2017-7653)

  - 在 Eclipse Mosquitto 1.4.15 和更舊版本中，發現 Mosquitto 代理程式存在記憶體流失弱點。未經驗證的用戶端可傳送特製的 CONNECT 封包，進而導致 Mosquitto 代理程式發生拒絕服務。(CVE-2017-7654)

  - 在 Eclipse Mosquitto 1.0 至 1.4.15 版中，Mosquitto 程式庫中存在 Null 指標解除參照弱點，可導致使用該程式庫的應用程式當機。(CVE-2017-7655)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされた Junos OS のバージョンは、JSA71655アドバイザに記載されている複数の脆弱性の影響を受けます。

  - バージョン 1.4.15 までの Eclipse Mosquitto ブローカーは、有効な UTF-8 でない文字列を拒否しません。悪意のあるクライアントが、無効な UTF-8 文字列を拒否する他のクライアントに、有効な UTF-8 ではないトピック文字列を送信することでブローカーから切断させ、クライアントにサービス拒否を引き起こす可能性があります。(CVE-2017-7653)

  - Eclipse Mosquitto 1.4.15 以前では、Mosquitto Broker にメモリリークの脆弱性が見つかりました。認証されていないクライアントが、Mosquitto Broker でサービス拒否を引き起こす可能性のある細工された CONNECT パケットを送信する可能性があります。(CVE-2017-7654)

  - 1.0から1.4.15までのEclipse Mosquittoバージョンでは、Nullデリファレンスの脆弱性が、Mosquittoライブラリに見つかりました。これにより、ライブラリを使用するそれらのアプリケーションがクラッシュする可能性があります。 (CVE-2017-7655)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上安装的 Junos OS 版本受到 JSA71655 公告中提及的多个漏洞的影响。

  - Eclipse Mosquitto 代理 1.4.15 及其之前所有版本不会拒绝非有效 UTF-8 的字符串。恶意客户端可通过发送非有效 UTF-8 的主题字符串，造成拒绝无效 UTF-8 字符串的其他客户端断开其与代理的连接，从而造成客户端拒绝服务。(CVE-2017-7653)

  - 在 Eclipse Mosquitto 1.4.15 及更早版本中，发现 Mosquitto Broker 中存在内存流失漏洞。未经身份验证的客户端可通过发送特别的 CONNECT 数据包，来造成 Mosquitto Broker 拒绝服务。(CVE-2017-7654)

  - 在 Eclipse Mosquitto 版本 1.0 到 1.4.15 中，Mosquitto 库中存在空取消引用漏洞，此漏洞可导致使用该库的那些应用程序崩溃。(CVE-2017-7655)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CVE-2017-7653

無効なUTF-8文字列が正しくチェックされないため、攻撃者は特別な細工をしたトピックでブローカーから切断することで、他のクライアントにサービス拒否を引き起こす可能性があります。

CVE-2017-7654

メモリリークにより、認証されていないクライアントが特別に細工されたCONNECTパケットを送信し、ブローカーでサービス拒否を引き起こす可能性があります。

CVE-2017-9868

ファイルのアクセス許可が間違っているため、ローカルユーザーがmosquittoデータベースからトピック情報を入手する可能性があります。

Debian 8 'Jessie'では、これらの問題はバージョン1.3.4-2+deb8u3で修正されました。

お使いのmosquittoのパッケージをアップグレードすることを推奨します。

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

据发现，Mosquitto 代理未正确处理某些特制的输入和网络数据包。远程攻击者可利用此漏洞造成拒绝服务。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

CVE-2017-7653

由于未正确检查无效的 UTF-8 字符串，攻击者可通过特别构建的主题来断开其他客户端与代理的连接，造成拒绝服务。

CVE-2017-7654

 由于内存泄露，未经身份验证的客户端可能会发送特别的 CONNECT 数据包，从而造成代理拒绝服务。

CVE-2017-9868

由于错误的文件权限，本地用户可能会从 mosquitto 数据库中获取主题信息。

对于 Debian 8“Jessie”，这些问题已在 :4-2+deb8u3 版本中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

據發現，Mosquitto 代理程式未正確處理某些特製的輸入和網路封包。遠端攻擊者可利用此問題造成拒絕服務。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-7653

As invalid UTF-8 strings are not correctly checked, an attacker could cause a denial of service to other clients by disconnecting them from the broker with special crafted topics.

CVE-2017-7654

Due to a memory leak unauthenticated clients can send special crafted CONNECT packets which could cause a denial of service in the broker.

CVE-2017-9868

Due to wrong file permissions local users could obtain topic information from the mosquitto database.

For Debian 8 'Jessie', these problems have been fixed in version 1.3.4-2+deb8u3.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

MQTTブローカーであるmosquittoが、さまざまなベクトルを使用してマウントされる可能性があるリモートのサービス拒否攻撃に脆弱であることが判明しました。

CVE-2017-7653

因為未正確檢查無效的 UTF-8 字串，攻擊者可能會透過特製主題中斷它們與代理程式的連線，進而造成對其他用戶端拒絕服務。

CVE-2017-7654

因為記憶體流失，未經驗證的用戶端可傳送特製的 CONNECT 封包，進而在代理程式中導致拒絕服務。

CVE-2017-9868

因為錯誤的檔案權限，本機使用者可以從 mosquitto 資料庫中取得主題資訊。

針對 Debian 8「Jessie」，已在 1.3.4-2+deb8u3 版本中修正這些問題。

建議您升級 mosquitto 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，mosquitto (一種 MQTT 代理程式) 容易遭受遠端拒絕服務攻擊，該攻擊可使用多種向量來裝載。

MQTT 代理 mosquitto 中发现容易受到利用多种向量挂载的远程拒绝服务攻击。

ID	名稱	產品	系列	已發布	已更新	嚴重性
126096	Ubuntu 16.04 LTS / 18.04 LTS : Mosquitto vulnerabilities (USN-4023-1)	Nessus	Ubuntu Local Security Checks	2019/6/21	2023/10/20	high
178191	Juniper Junos OS Multiple Vulnerabilities (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
118408	Debian DSA-4325-1 : mosquitto - security update	Nessus	Debian Local Security Checks	2018/10/26	2024/7/29	high
126096	Ubuntu 16.04 LTS / 18.04 LTS : Mosquittoの脆弱性 (USN-4023-1)	Nessus	Ubuntu Local Security Checks	2019/6/21	2023/10/20	high
178191	Juniper Junos OS 多個弱點 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
178191	Juniper Junos OSの複数の脆弱性 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
178191	Juniper Junos OS 多个漏洞 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
117835	Debian DLA-1525-1: mosquitto セキュリティ更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
126096	Ubuntu 16.04 LTS / 18.04 LTS：Mosquitto 漏洞 (USN-4023-1)	Nessus	Ubuntu Local Security Checks	2019/6/21	2023/10/20	high
117835	Debian DLA-1525-1：mosquitto 的安全更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
126096	Ubuntu 16.04 LTS / 18.04 LTS：Mosquitto 弱點 (USN-4023-1)	Nessus	Ubuntu Local Security Checks	2019/6/21	2023/10/20	high
117835	Debian DLA-1525-1 : mosquitto security update	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
118408	DebianDSA-4325-1：mosquitto - セキュリティ更新	Nessus	Debian Local Security Checks	2018/10/26	2024/7/29	high
117835	Debian DLA-1525-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	2018/10/1	2024/8/1	medium
118408	Debian DSA-4325-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	2018/10/26	2024/7/29	high
118408	Debian DSA-4325-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	2018/10/26	2024/7/29	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

medium

high

medium

high

medium

high

medium

high

high