Fix CVE-2017-7650 (rhbz#1456507)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

It was discovered that pattern-based ACLs in the Mosquitto MQTT broker could be bypassed.

Mosquitto MQTTブローカーのパターンベースのACLがバイパスされる可能性があることが判明しました。

發現可繞過 Mosquitto MQTT 代理程式中的模式型 ACL。

已发现可以绕过 Mosquitto MQTT 代理中基于模式的 ACL。

CVE-2017-7650：将用户名/客户端 ID 设置为“＃”或“+”的客户端可以绕过基于模式的 ACL。这允许本地或远程连接的客户端访问其确实有权访问的 MQTT 主题。Mosquitto 的第三方身份验证/访问控制插件中可能存在同样的问题。此漏洞仅在使用基于模式的 ACL 或可能在使用第三方插件的情况下才生效。对于 Debian 7“Wheezy”，这些问题已在 0.15-2+deb7u1 版本中修复。建议您升级 mosquitto 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

CVE-2017-7650を修正します（rhbz#1456507）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-7650：用戶端可藉由將使用者名稱/用戶端 id 設定為「#」或「+」，繞過模式型 ACL。本機或遠端連線的用戶端可藉此存取其無權取得的 MQTT 主題。第三方的 Mosquitto 驗證/存取控制外掛程式可能也會出現同樣的問題。必須使用模式型 ACL 或可能使用第三方外掛程式，此弱點才會生效。針對 Debian 7「Wheezy」，這些問題已在 0.15-2+deb7u1 版本中修正。建議您升級 mosquitto 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

CVE-2017-7650: ユーザー名/クライアントIDを「#」または「+」に設定するクライアントにより、パターンベースのACLがバイパスされる可能性があります。これにより、ローカルまたはリモートで接続されているクライアントは、権利を有するMQTTトピックにアクセスできます。同じ問題がMosquittoのサードパーティ認証/アクセス制御プラグインに存在する可能性があります。

この脆弱性は、パターンベースのACLが使用されている場合、またはサードパーティのプラグインが使用されている場合にのみ有効になります。

Debian 7「Wheezy」では、これらの問題はバージョン0.15-2+deb7u1で修正されました。

お使いのmosquittoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-7650: Pattern based ACLs can be bypassed by clients that set their username/client id to &lsquo;#&rsquo; or &lsquo;+&rsquo;. This allows locally or remotely connected clients to access MQTT topics that they do have the rights to. The same issue may be present in third-party authentication/access control plugins for Mosquitto.

The vulnerability only comes into effect where pattern based ACLs are in use, or potentially where third-party plugins are in use.

For Debian 7 'Wheezy', these problems have been fixed in version 0.15-2+deb7u1.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	Name	Product	Family	Published	Updated	Severity
100734	Fedora 25 : mosquitto (2017-c2113aacd2)	Nessus	Fedora Local Security Checks	6/12/2017	1/6/2021	medium
100484	Debian DSA-3865-1 : mosquitto - security update	Nessus	Debian Local Security Checks	5/30/2017	1/11/2021	medium
101636	Fedora 26 : mosquitto (2017-59f85fef2c)	Nessus	Fedora Local Security Checks	7/17/2017	1/6/2021	medium
100484	Debian DSA-3865-1: mosquitto - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	5/30/2017	1/11/2021	medium
100484	Debian DSA-3865-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	5/30/2017	1/11/2021	medium
100484	Debian DSA-3865-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	5/30/2017	1/11/2021	medium
100513	Debian DLA-961-1：mosquitto 安全更新	Nessus	Debian Local Security Checks	5/31/2017	1/11/2021	medium
100734	Fedora 25：mosquitto（2017-c2113aacd2）	Nessus	Fedora Local Security Checks	6/12/2017	1/6/2021	medium
101636	Fedora 26：mosquitto（2017-59f85fef2c）	Nessus	Fedora Local Security Checks	7/17/2017	1/6/2021	medium
100513	Debian DLA-961-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	5/31/2017	1/11/2021	medium
100513	Debian DLA-961-1: mosquittoセキュリティ更新	Nessus	Debian Local Security Checks	5/31/2017	1/11/2021	medium
100742	Fedora 24：mosquitto（2017-486a536b62）	Nessus	Fedora Local Security Checks	6/13/2017	1/11/2021	medium
100742	Fedora 24 : mosquitto (2017-486a536b62)	Nessus	Fedora Local Security Checks	6/13/2017	1/11/2021	medium
100513	Debian DLA-961-1 : mosquitto security update	Nessus	Debian Local Security Checks	5/31/2017	1/11/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium