Fixes for the following CVES :

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

The list of other fixes addressed in version 1.5.6 is: Broker :

  - Fixed comment handling for config options that have     optional arguments.

  - Improved documentation around bridge topic remapping.

  - Handle mismatched handshakes (e.g. QoS1 PUBLISH with     QoS2 reply) properly.

  - Fix spaces not being allowed in the bridge     remote_username option. Closes #1131.

  - Allow broker to always restart on Windows when using     log_dest file. Closes #1080.

  - Fix Will not being sent for Websockets clients. Closes     #1143.

  - Windows: Fix possible crash when client disconnects.
    Closes #1137.

  - Fixed durable clients being unable to receive messages     when offline, when per_listener_settings was set to     true. Closes #1081.

  - Add log message for the case where a client is     disconnected for sending a topic with invalid UTF-8.
    Closes #1144.

Library :

  - Fix TLS connections not working over SOCKS.

  - Don't clear SSL context when TLS connection is closed,     meaning if a user provided an external SSL_CTX they have     less chance of leaking references.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for mosquitto fixes the following issues :

Security issues fixed :

  - CVE-2018-12546: Fixed an issue with revoked access to     topics (bsc#1125019).

  - CVE-2018-12551: Fixed an issue which allowed malformed     data in the password file to be treated as valid     (bsc#1125020).

  - CVE-2018-12550: Fixed an an issue which treats an empty     ACL file wrongly (bsc#1125021).

Three vulnerabilities were discovered in the Mosquitto MQTT broker, which could result in authentication bypass. Please refer to https://mosquitto.org/blog/2019/02/version-1-5-6-released/ for additional information.

次のCVEを修正します：

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

バージョン1.5.6で対処された他の修正のリストは、次のとおりです：Broker：

  - オプションの引数を持つ構成オプションのコメント処理を修正しました。

  - ブリッジトピックの再マッピングに関するドキュメントを改善しました。

  - 一致しないハンドシェイク（例：QoS2返信によるQoS1 PUBLISH）を適切に処理します。

  - ブリッジのremote_usernameオプションで許可されていないスペースを修正します。#1131 を閉じます。

  - log_destファイルを使用する際、ブローカーがWindows上で常に再起動できるようにします。#1080 を閉じます。

  - 修正がWebsocketクライアントに送信されていません。#1143 を閉じます。

  - Windows：クライアントが切断する際に起こり得るクラッシュを修正します。
    #1137 を閉じます。

  - per_listener_settingsがtrueに設定されているときに、オフライン時に恒久クライアントがメッセージを受信できない問題を修正しました。#1081 を閉じます。

  - 無効なUTF-8でトピックを送信したためにクライアントが切断された場合のログメッセージを追加します。
    #1144 を閉じます。

ライブラリ：

  - SOCKSで機能しないTLS接続を修正します。

  - TLS接続が閉じられたときにSSLコンテキストをクリアしないため、ユーザーが外部SSL_CTXを提供した場合に、参照が漏洩する可能性が低くなります。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Mosquitto MQTTブローカーに3つの脆弱性が見つかりました。これにより、認証バイパスが発生する可能性があります。詳細については、 https://mosquitto.org/blog/2019/02/version-1-5-6-releasedを参照してください。

在 Mosquitto MQTT 代理程式中發現三個弱點，可能導致身份驗證繞過。如需其他資訊，請參閱 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

Mosquitto MQTT 代理中发现三个漏洞，可能会造成身份验证绕过。有关更多信息，请参阅 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

このmosquittoの更新では次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-12546：トピックに対するアクセスが取り消される問題を修正しました（bsc#1125019）。

  - CVE-2018-12551：パスワードファイル内の無効な形式のデータが有効として扱われる問題を修正しました（bsc#1125020）。

  - CVE-2018-12550：誤って空のACLファイルを扱う問題を修正しました（bsc#1125021）。

ID	Name	Product	Family	Published	Updated	Severity
122285	Fedora 28 : mosquitto (2019-8cbe2a05cd)	Nessus	Fedora Local Security Checks	2/19/2019	3/20/2025	high
122417	openSUSE Security Update : mosquitto (openSUSE-2019-233)	Nessus	SuSE Local Security Checks	2/25/2019	3/20/2025	high
122069	Debian DSA-4388-1 : mosquitto - security update	Nessus	Debian Local Security Checks	2/11/2019	3/20/2025	high
122285	Fedora 28：mosquitto（2019-8cbe2a05cd）	Nessus	Fedora Local Security Checks	2/19/2019	3/20/2025	high
122069	DebianDSA-4388-1: mosquitto - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2/11/2019	3/20/2025	high
122069	Debian DSA-4388-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	2/11/2019	3/20/2025	high
122069	Debian DSA-4388-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	2/11/2019	3/20/2025	high
122417	openSUSEセキュリティ更新プログラム：mosquitto（openSUSE-2019-233）	Nessus	SuSE Local Security Checks	2/25/2019	3/20/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high