This update for mosquitto fixes the following issues :

Security issues fixed :

  - CVE-2018-12546: Fixed an issue with revoked access to     topics (bsc#1125019).

  - CVE-2018-12551: Fixed an issue which allowed malformed     data in the password file to be treated as valid     (bsc#1125020).

  - CVE-2018-12550: Fixed an an issue which treats an empty     ACL file wrongly (bsc#1125021).

Several issues have been found in mosquitto, a MQTT version 3.1/3.1.1 compatible message broker.

CVE-2017-7655

A Null dereference vulnerability in the Mosquitto library could lead to crashes for those applications using the library.

CVE-2018-12550

An ACL file with no statements was treated as having a default allow policy. The new behaviour of an empty ACL file is a default policy of access denied. (this is in compliance with all newer releases)

CVE-2018-12551

Malformed authentication data in the password file could allow clients to circumvent authentication and get access to the broker.

CVE-2019-11779

Fix for processing a crafted SUBSCRIBE packet containing a topic that consists of approximately 65400 or more '/' characters. (setting TOPIC_HIERARCHY_LIMIT to 200)

For Debian 8 'Jessie', these problems have been fixed in version 1.3.4-2+deb8u4.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Mosquitto MQTTブローカーに3つの脆弱性が見つかりました。これにより、認証バイパスが発生する可能性があります。詳細については、 https://mosquitto.org/blog/2019/02/version-1-5-6-releasedを参照してください。

Three vulnerabilities were discovered in the Mosquitto MQTT broker, which could result in authentication bypass. Please refer to https://mosquitto.org/blog/2019/02/version-1-5-6-released/ for additional information.

Fixes for the following CVES :

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

The list of other fixes addressed in version 1.5.6 is: Broker :

  - Fixed comment handling for config options that have     optional arguments.

  - Improved documentation around bridge topic remapping.

  - Handle mismatched handshakes (e.g. QoS1 PUBLISH with     QoS2 reply) properly.

  - Fix spaces not being allowed in the bridge     remote_username option. Closes #1131.

  - Allow broker to always restart on Windows when using     log_dest file. Closes #1080.

  - Fix Will not being sent for Websockets clients. Closes     #1143.

  - Windows: Fix possible crash when client disconnects.
    Closes #1137.

  - Fixed durable clients being unable to receive messages     when offline, when per_listener_settings was set to     true. Closes #1081.

  - Add log message for the case where a client is     disconnected for sending a topic with invalid UTF-8.
    Closes #1144.

Library :

  - Fix TLS connections not working over SOCKS.

  - Don't clear SSL context when TLS connection is closed,     meaning if a user provided an external SSL_CTX they have     less chance of leaking references.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

MQTTバージョン3.1/3.1.1互換のメッセージブローカーmosquittoで、いくつかの問題が見つかりました。

CVE-2017-7655

MosquittoライブラリにNull間接参照脆弱性があるため、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

CVE-2018-12550

ステートメントのないACLファイルが、デフォルトの許可ポリシーに従うものとして扱われていました。空のACLファイルの新しい動作は、アクセス拒否のデフォルトポリシーです。（すべての新しいリリースに準拠）

CVE-2018-12551

パスワードファイルの無効な形式の認証データにより、クライアントが認証を回避し、ブローカーへのアクセス権を取得する可能性があります。

CVE-2019-11779

約65400個以上の「/」文字で構成されるトピックを含む、細工されたSUBSCRIBEパケットを処理するための修正。（TOPIC_HIERARCHY_LIMITを200に設定）

Debian 8「Jessie」では、これらの問題はバージョン1.3.4-2+deb8u4で修正されました。

お使いのmosquittoのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このmosquittoの更新では次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-12546：トピックに対するアクセスが取り消される問題を修正しました（bsc#1125019）。

  - CVE-2018-12551：パスワードファイル内の無効な形式のデータが有効として扱われる問題を修正しました（bsc#1125020）。

  - CVE-2018-12550：誤って空のACLファイルを扱う問題を修正しました（bsc#1125021）。

次のCVEを修正します：

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

バージョン1.5.6で対処された他の修正のリストは、次のとおりです：Broker：

  - オプションの引数を持つ構成オプションのコメント処理を修正しました。

  - ブリッジトピックの再マッピングに関するドキュメントを改善しました。

  - 一致しないハンドシェイク（例：QoS2返信によるQoS1 PUBLISH）を適切に処理します。

  - ブリッジのremote_usernameオプションで許可されていないスペースを修正します。#1131 を閉じます。

  - log_destファイルを使用する際、ブローカーがWindows上で常に再起動できるようにします。#1080 を閉じます。

  - 修正がWebsocketクライアントに送信されていません。#1143 を閉じます。

  - Windows：クライアントが切断する際に起こり得るクラッシュを修正します。
    #1137 を閉じます。

  - per_listener_settingsがtrueに設定されているときに、オフライン時に恒久クライアントがメッセージを受信できない問題を修正しました。#1081 を閉じます。

  - 無効なUTF-8でトピックを送信したためにクライアントが切断された場合のログメッセージを追加します。
    #1144 を閉じます。

ライブラリ：

  - SOCKSで機能しないTLS接続を修正します。

  - TLS接続が閉じられたときにSSLコンテキストをクリアしないため、ユーザーが外部SSL_CTXを提供した場合に、参照が漏洩する可能性が低くなります。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Mosquitto MQTT 代理中发现三个漏洞，可能会造成身份验证绕过。有关更多信息，请参阅 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

在 Mosquitto MQTT 代理程式中發現三個弱點，可能導致身份驗證繞過。如需其他資訊，請參閱 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

在 mosquitto (與 MQTT 3.1/3.1.1 版相容的訊息代理程式) 中發現數個問題。

CVE-2017-7655

Mosquitto 程式庫中存在 Null 解除參照弱點，可導致使用該程式庫的應用程式當機。

CVE-2018-12550

沒有陳述式的 ACL 檔案被視為具有預設允許原則。空 ACL 檔案的新行為是預設的拒絕存取原則。(符合所有較新的版本)

CVE-2018-12551

密碼檔案中格式錯誤的驗證資料可讓用戶端規避驗證，並取得對代理人的存取權。

CVE-2019-11779

針對處理建構的 SUBSCRIBE 封包的修正，該封包包含一個由約 65400 個或更多「/」字元組成的主題。(將 TOPIC_HIERARCHY_LIMIT 設為 200)

針對 Debian 8「Jessie」，已在 1.3.4-2+deb8u4 版本中修正這些問題。

建議您升級 mosquitto 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 mosquitto（兼容 MQTT 版本 3.1/3.1.1 的消息代理）中发现多个问题。

CVE-2017-7655

Mosquitto 库中存在空取消引用漏洞，可导致使用该库的那些应用程序崩溃。

CVE-2018-12550

无语句的 ACL 文件被视为具有默认许可策略。空 ACL 文件的新行为是访问被拒的默认策略。 （这符合所有较新的版本）

CVE-2018-12551

密码文件中存在格式错误的身份验证数据，可导致客户端避开身份验证并访问代理。

CVE-2019-11779

针对处理构建的 SUBSCRIBE 数据包（有大约包含 65400 个或更多 '/' 字符的主题）进行修复。（将 TOPIC_HIERARCHY_LIMIT 设置为 200）

对于 Debian 8“Jessie”，这些问题已在版本 1.3.4-2+deb8u4 中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	Name	Product	Family	Published	Updated	Severity
122417	openSUSE Security Update : mosquitto (openSUSE-2019-233)	Nessus	SuSE Local Security Checks	2/25/2019	6/18/2024	high
130285	Debian DLA-1972-1 : mosquitto security update	Nessus	Debian Local Security Checks	10/28/2019	4/16/2024	high
122069	DebianDSA-4388-1: mosquitto - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2/11/2019	6/21/2024	high
122069	Debian DSA-4388-1 : mosquitto - security update	Nessus	Debian Local Security Checks	2/11/2019	6/21/2024	high
122285	Fedora 28 : mosquitto (2019-8cbe2a05cd)	Nessus	Fedora Local Security Checks	2/19/2019	6/20/2024	high
130285	Debian DLA-1972-1 : mosquittoセキュリティ更新プログラム	Nessus	Debian Local Security Checks	10/28/2019	4/16/2024	high
122417	openSUSEセキュリティ更新プログラム：mosquitto（openSUSE-2019-233）	Nessus	SuSE Local Security Checks	2/25/2019	6/18/2024	high
122285	Fedora 28：mosquitto（2019-8cbe2a05cd）	Nessus	Fedora Local Security Checks	2/19/2019	6/20/2024	high
122069	Debian DSA-4388-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	2/11/2019	6/21/2024	high
122069	Debian DSA-4388-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	2/11/2019	6/21/2024	high
130285	Debian DLA-1972-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	10/28/2019	4/16/2024	high
130285	Debian DLA-1972-1：mosquitto 安全更新	Nessus	Debian Local Security Checks	10/28/2019	4/16/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high