Several issues have been found in mosquitto, a MQTT version 3.1/3.1.1 compatible message broker.

CVE-2017-7655

A Null dereference vulnerability in the Mosquitto library could lead to crashes for those applications using the library.

CVE-2018-12550

An ACL file with no statements was treated as having a default allow policy. The new behaviour of an empty ACL file is a default policy of access denied. (this is in compliance with all newer releases)

CVE-2018-12551

Malformed authentication data in the password file could allow clients to circumvent authentication and get access to the broker.

CVE-2019-11779

Fix for processing a crafted SUBSCRIBE packet containing a topic that consists of approximately 65400 or more '/' characters. (setting TOPIC_HIERARCHY_LIMIT to 200)

For Debian 8 'Jessie', these problems have been fixed in version 1.3.4-2+deb8u4.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of Junos OS installed on the remote host is affected by multiple vulnerabilities as referenced in the JSA71655 advisory.

  - The Eclipse Mosquitto broker up to version 1.4.15 does not reject strings that are not valid UTF-8. A     malicious client could cause other clients that do reject invalid UTF-8 strings to disconnect themselves     from the broker by sending a topic string which is not valid UTF-8, and so cause a denial of service for     the clients. (CVE-2017-7653)

  - In Eclipse Mosquitto 1.4.15 and earlier, a Memory Leak vulnerability was found within the Mosquitto     Broker. Unauthenticated clients can send crafted CONNECT packets which could cause a denial of service in     the Mosquitto Broker. (CVE-2017-7654)

  - In Eclipse Mosquitto version from 1.0 to 1.4.15, a Null Dereference vulnerability was found in the     Mosquitto library which could lead to crashes for those applications using the library. (CVE-2017-7655)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされた Junos OS のバージョンは、JSA71655アドバイザに記載されている複数の脆弱性の影響を受けます。

  - バージョン 1.4.15 までの Eclipse Mosquitto ブローカーは、有効な UTF-8 でない文字列を拒否しません。悪意のあるクライアントが、無効な UTF-8 文字列を拒否する他のクライアントに、有効な UTF-8 ではないトピック文字列を送信することでブローカーから切断させ、クライアントにサービス拒否を引き起こす可能性があります。(CVE-2017-7653)

  - Eclipse Mosquitto 1.4.15 以前では、Mosquitto Broker にメモリリークの脆弱性が見つかりました。認証されていないクライアントが、Mosquitto Broker でサービス拒否を引き起こす可能性のある細工された CONNECT パケットを送信する可能性があります。(CVE-2017-7654)

  - 1.0から1.4.15までのEclipse Mosquittoバージョンでは、Nullデリファレンスの脆弱性が、Mosquittoライブラリに見つかりました。これにより、ライブラリを使用するそれらのアプリケーションがクラッシュする可能性があります。 (CVE-2017-7655)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

MQTTバージョン3.1/3.1.1互換のメッセージブローカーmosquittoで、いくつかの問題が見つかりました。

CVE-2017-7655

MosquittoライブラリにNull間接参照脆弱性があるため、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

CVE-2018-12550

ステートメントのないACLファイルが、デフォルトの許可ポリシーに従うものとして扱われていました。空のACLファイルの新しい動作は、アクセス拒否のデフォルトポリシーです。（すべての新しいリリースに準拠）

CVE-2018-12551

パスワードファイルの無効な形式の認証データにより、クライアントが認証を回避し、ブローカーへのアクセス権を取得する可能性があります。

CVE-2019-11779

約65400個以上の「/」文字で構成されるトピックを含む、細工されたSUBSCRIBEパケットを処理するための修正。（TOPIC_HIERARCHY_LIMITを200に設定）

Debian 8「Jessie」では、これらの問題はバージョン1.3.4-2+deb8u4で修正されました。

お使いのmosquittoのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 mosquitto (與 MQTT 3.1/3.1.1 版相容的訊息代理程式) 中發現數個問題。

CVE-2017-7655

Mosquitto 程式庫中存在 Null 解除參照弱點，可導致使用該程式庫的應用程式當機。

CVE-2018-12550

沒有陳述式的 ACL 檔案被視為具有預設允許原則。空 ACL 檔案的新行為是預設的拒絕存取原則。(符合所有較新的版本)

CVE-2018-12551

密碼檔案中格式錯誤的驗證資料可讓用戶端規避驗證，並取得對代理人的存取權。

CVE-2019-11779

針對處理建構的 SUBSCRIBE 封包的修正，該封包包含一個由約 65400 個或更多「/」字元組成的主題。(將 TOPIC_HIERARCHY_LIMIT 設為 200)

針對 Debian 8「Jessie」，已在 1.3.4-2+deb8u4 版本中修正這些問題。

建議您升級 mosquitto 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程主机上安装的 Junos OS 版本受到 JSA71655 公告中提及的多个漏洞的影响。

  - Eclipse Mosquitto 代理 1.4.15 及其之前所有版本不会拒绝非有效 UTF-8 的字符串。恶意客户端可通过发送非有效 UTF-8 的主题字符串，造成拒绝无效 UTF-8 字符串的其他客户端断开其与代理的连接，从而造成客户端拒绝服务。(CVE-2017-7653)

  - 在 Eclipse Mosquitto 1.4.15 及更早版本中，发现 Mosquitto Broker 中存在内存流失漏洞。未经身份验证的客户端可通过发送特别的 CONNECT 数据包，来造成 Mosquitto Broker 拒绝服务。(CVE-2017-7654)

  - 在 Eclipse Mosquitto 版本 1.0 到 1.4.15 中，Mosquitto 库中存在空取消引用漏洞，此漏洞可导致使用该库的那些应用程序崩溃。(CVE-2017-7655)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 mosquitto（兼容 MQTT 版本 3.1/3.1.1 的消息代理）中发现多个问题。

CVE-2017-7655

Mosquitto 库中存在空取消引用漏洞，可导致使用该库的那些应用程序崩溃。

CVE-2018-12550

无语句的 ACL 文件被视为具有默认许可策略。空 ACL 文件的新行为是访问被拒的默认策略。 （这符合所有较新的版本）

CVE-2018-12551

密码文件中存在格式错误的身份验证数据，可导致客户端避开身份验证并访问代理。

CVE-2019-11779

针对处理构建的 SUBSCRIBE 数据包（有大约包含 65400 个或更多 '/' 字符的主题）进行修复。（将 TOPIC_HIERARCHY_LIMIT 设置为 200）

对于 Debian 8“Jessie”，这些问题已在版本 1.3.4-2+deb8u4 中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端主機上安裝的 Junos OS 版本受到 JSA71655 公告中提及的多個弱點影響。

  - 1.4.15 以及之前版本的 Eclipse Mosquitto 代理程式不會拒絕非有效 UTF-8 的字串。惡意用戶端可傳送非有效 UTF-8 的主題字串，造成會拒絕無效 UTF-8 字串的其他用戶端自行中斷其與代理程式的連線，進而造成用戶端拒絕服務。(CVE-2017-7653)

  - 在 Eclipse Mosquitto 1.4.15 和更舊版本中，發現 Mosquitto 代理程式存在記憶體流失弱點。未經驗證的用戶端可傳送特製的 CONNECT 封包，進而導致 Mosquitto 代理程式發生拒絕服務。(CVE-2017-7654)

  - 在 Eclipse Mosquitto 1.0 至 1.4.15 版中，Mosquitto 程式庫中存在 Null 指標解除參照弱點，可導致使用該程式庫的應用程式當機。(CVE-2017-7655)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Debian 9 host has packages installed that are affected by a vulnerability as referenced in the dla-2793 advisory.

  - In Eclipse Mosquitto version from 1.0 to 1.4.15, a Null Dereference vulnerability was found in the     Mosquitto library which could lead to crashes for those applications using the library. (CVE-2017-7655)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Ubuntu 16.04 ESM / 18.04 ESM host has packages installed that are affected by a vulnerability as referenced in the USN-4823-1 advisory.

    It was discovered that Mosquitto incorrectly handled certain inputs. A remote attacker could possibly use     this issue to cause a denial of service.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートのDebian 9ホストには、dla-2793のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 1.0から1.4.15までのEclipse Mosquittoバージョンでは、Nullデリファレンスの脆弱性が、Mosquittoライブラリに見つかりました。これにより、ライブラリを使用するそれらのアプリケーションがクラッシュする可能性があります。（CVE-2017-7655）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストにインストールされているパッケージは、USN-4823-1のアドバイザリに記載されている脆弱性の影響を受けます。

  - 1.0から1.4.15までのEclipse Mosquittoバージョンでは、Nullデリファレンスの脆弱性が、Mosquittoライブラリに見つかりました。これにより、ライブラリを使用するそれらのアプリケーションがクラッシュする可能性があります。(CVE-2017-7655)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

远程 Debian 9 主机上安装的多个程序包受到 dla-2793 公告中提及的一个漏洞影响。

  - 在 Eclipse Mosquitto 版本 1.0 到 1.4.15 中，Mosquitto 库中存在空取消引用漏洞，此漏洞可导致使用该库的那些应用程序崩溃。(CVE-2017-7655)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4823-1 公告中提及的一个漏洞影响。

  - 在 Eclipse Mosquitto 版本 1.0 到 1.4.15 中，Mosquitto 库中存在空取消引用漏洞，此漏洞可导致使用该库的那些应用程序崩溃。(CVE-2017-7655)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 9 主機上安裝的多個套件受到 dla-2793 公告中提及的一個弱點影響。

  - 在 Eclipse Mosquitto 1.0 至 1.4.15 版中，Mosquitto 程式庫中存在 Null 指標解除參照弱點，可導致使用該程式庫的應用程式當機。(CVE-2017-7655)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 16.04 ESM/18.04 ESM 主機上安裝的套件受到 USN-4823-1 公告中提及的一個弱點影響。

  - 在 Eclipse Mosquitto 1.0 至 1.4.15 版中，Mosquitto 程式庫中存在 Null 指標解除參照弱點，可導致使用該程式庫的應用程式當機。(CVE-2017-7655)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
130285	Debian DLA-1972-1 : mosquitto security update	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
178191	Juniper Junos OS Multiple Vulnerabilities (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
178191	Juniper Junos OSの複数の脆弱性 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
130285	Debian DLA-1972-1 : mosquittoセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
130285	Debian DLA-1972-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
178191	Juniper Junos OS 多个漏洞 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
130285	Debian DLA-1972-1：mosquitto 安全更新	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
178191	Juniper Junos OS 多個弱點 (JSA71655)	Nessus	Junos Local Security Checks	2023/7/12	2023/7/20	high
154627	Debian DLA-2793-1 : mosquitto - LTS security update	Nessus	Debian Local Security Checks	2021/10/28	2021/10/28	high
183609	Ubuntu 16.04 ESM / 18.04 ESM : Mosquitto vulnerability (USN-4823-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/27	high
154627	Debian DLA-2793-1：mosquitto - LTSセキュリティ更新	Nessus	Debian Local Security Checks	2021/10/28	2021/10/28	high
183609	Ubuntu 16.04ESM / 18.04ESM : Mosquittoの脆弱性 (USN-4823-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/27	high
154627	Debian DLA-2793-1：mosquitto - LTS 安全更新	Nessus	Debian Local Security Checks	2021/10/28	2021/10/28	high
183609	Ubuntu 16.04 ESM / 18.04 ESM：Mosquitto 漏洞 (USN-4823-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/27	high
154627	Debian DLA-2793-1：mosquitto - LTS 安全性更新	Nessus	Debian Local Security Checks	2021/10/28	2021/10/28	high
183609	Ubuntu 16.04 ESM / 18.04 ESM：Mosquitto 弱點 (USN-4823-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high