The remote Ubuntu 20.04 ESM / 22.04 LTS / 23.04 host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-6492-1 advisory.

    Kathrin Kleinhammer discovered that Mosquitto incorrectly handled certain inputs. If a user or an     automated system were provided with a specially crafted input, a remote attacker could possibly use this     issue to cause a denial of service. This issue only affected Ubuntu 20.04 LTS. (CVE-2021-34431)

    Zhanxiang Song discovered that Mosquitto incorrectly handled certain inputs. If a user or an automated     system were provided with a specially crafted input, a remote attacker could possibly use this issue to     cause an authorisation bypass. This issue only affected Ubuntu 22.04 LTS and Ubuntu 23.04.
    (CVE-2021-34434)

    Zhanxiang Song, Bin Yuan, DeQing Zou, and Hai Jin discovered that Mosquitto incorrectly handled certain     inputs. If a user or an automated system were provided with a specially crafted input, a remote attacker     could possibly use this issue to cause a denial of service. This issue only affected Ubuntu 20.04 LTS and     Ubuntu 22.04 LTS. (CVE-2021-41039)

    Zhengjie Du discovered that Mosquitto incorrectly handled certain inputs. If a user or an automated system     were provided with a specially crafted input file, a remote attacker could possibly use this issue to     cause a denial of service. (CVE-2023-0809)

    It was discovered that Mosquitto incorrectly handled certain inputs. If a user or an automated system were     provided with a specially crafted input, a remote attacker could possibly use this issue to cause a denial     of service. (CVE-2023-3592)

    Mischa Bachmann discovered that Mosquitto incorrectly handled certain inputs. If a user or an automated     system were provided with a specially crafted input, a remote attacker could possibly use this issue to     cause a denial of service. This issue was only fixed in Ubuntu 22.04 LTS and Ubuntu 23.04.
    (CVE-2023-28366)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Ubuntu 20.04 ESM / 22.04 LTS / 23.04 ホストには、USN-6492-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Mosquitto バージョン 1.6 ～ 2.0.10では、MQTT v5 と接続して認証されたクライアントが細工された CONNECT メッセージをブローカーに送信すると、メモリ漏洩が発生する可能性があり、これを利用してブローカーに対する DoS 攻撃が行われる可能性があります。(CVE-2021-34431)

  - Eclipse Mosquitto のバージョン 2.0 ～ 2.0.11 では、動的セキュリティプラグインを使用する際、永続クライアントがオフラインであるときにクライアントがトピックのサブスクリプションを作成する機能が取り消された場合に、そのクライアントの既存のサブスクリプションは取り消されません。(CVE-2021-34434)

  - Eclipse Mosquitto のバージョン 1.6 ～ 2.0.11 において、MQTT v5 クライアントが多数のユーザープロパティプロパティに接続すると、CPU が過剰に使用され、パフォーマンスの低下やサービス拒否が発生する可能性があります。(CVE-2021-41039)

  - 2.0.16 より前の Mosquitto では、CONNECT パケットではない悪質な最初のパケットに基づいて過剰なメモリが割り当てられています。(CVE-2023-0809)

  - 2.0.16 以前の 1.3.2 から 2.x までの Eclipse Mosquitto のブローカーに、メモリリークが存在します。これは、クライアントが重複するメッセージ ID を持つ多数の QoS 2 メッセージを送信し、PUBREC コマンドへの応答に失敗する場合、リモートで悪用される可能性があります。これは、libc send 関数からの EAGAIN の不適切な処理が原因で発生します。
    (CVE-2023-28366)

  - 2.0.16 より前の Mosquitto では、クライアントが無効なプロパティタイプを含む will メッセージ付きの v5 CONNECT パケットを送信すると、メモリリークが発生します。(CVE-2023-3592)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 / 12 ホストには、dsa-5511 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Mosquitto のバージョン 2.0 ～ 2.0.11 では、動的セキュリティプラグインを使用する際、永続クライアントがオフラインであるときにクライアントがトピックのサブスクリプションを作成する機能が取り消された場合に、そのクライアントの既存のサブスクリプションは取り消されません。(CVE-2021-34434)

  - Eclipse Mosquitto のバージョン 1.6 ～ 2.0.11 において、MQTT v5 クライアントが多数のユーザープロパティプロパティに接続すると、CPU が過剰に使用され、パフォーマンスの低下やサービス拒否が発生する可能性があります。(CVE-2021-41039)

  - 2.0.16 以前の 1.3.2 から 2.x までの Eclipse Mosquitto のブローカーに、メモリリークが存在します。これは、クライアントが重複するメッセージ ID を持つ多数の QoS 2 メッセージを送信し、PUBREC コマンドへの応答に失敗する場合、リモートで悪用される可能性があります。これは、libc send 関数からの EAGAIN の不適切な処理が原因で発生します。
    (CVE-2023-28366)

  - 2.0.17 ブローカー: * クライアントがメッセージを受信するのを停止する「max_queued_messages 0」を修正します * 正しく設定されていない「max_inflight_messages」を修正します。アプリ: *「mosquitto_passwd -U」バックアップファイル作成を修正します。
    2.0.16 セキュリティ: * CVE-2023-28366: クライアントが同じメッセージ ID を持つ複数の QoS 2 メッセージを送信したのにもかかわらず、その後の PUBREC コマンドに決して応答しないという、ブローカーのメモリ漏洩を修正します。* CVE-2023-0809: CONNECT パケットではない悪質な最初のパケットに基づいて過剰なメモリが割り当てられている問題を修正します。* CVE-2023-3592:
    クライアントが無効なプロパティタイプを含む will メッセージ付きの v5 CONNECT パケットを送信した場合のメモリ漏洩を修正します。* ブローカーが $CONTROL/ にパブリッシュしようとする Will メッセージを拒否するようになりました。* ブローカーが TLS 証明書または TLS-PSK ID で提供されたユーザー名が有効な UTF-8 であることを検証するようになりました。* 無効な永続性ファイルをロードする際に生じる可能性があるクラッシュを修正します。* ライブラリが単一レベルのワイルドカード証明書などを許可しなくなりました。
    *.com ブローカー: * $SYS メッセージが 60 秒後に期限切れになり、変更されていない値が消えてしまう問題を修正します。* 使用後すぐにクリアされないいくつかの保持されたトピックメモリを修正します。*「bind_interface」オプションに関連するエラー処理を修正します。* アサーションを削除してビルドした場合、デーモン化する際に std* ファイルがリダイレクトされないという問題を修正します。* TLS v1.1 を不適切に許可するデフォルト設定を修正します。* stdout に対してラインバッファモードを使用します。#2354 を解決します。* cleansession/local_cleansession が一致しないブリッジが、永続化から復元した後の起動時に期限切れになる問題を修正します。* Windows で 2048 に制限されている接続を修正します。現在、サポートされている場合の制限は 8192 です。*機密ファイルが誰でも読み書きできる場合や、所有者/グループがブローカーを実行しているユーザー/グループと同じでない場合、ブローカーは警告をログに記録します。今後のバージョンでは、ブローカーはこれらのファイルを開くことを拒否します。* mosquitto_memcmp_const が一定の時間になりました。* DLT ロギングが有効な場合は、DLT にのみ登録してください。* json 文字列が不適切にロードされる可能性のあるケースを修正します。このため、ロールの textname または textdescription フィールドが文字列でない場合に、dynsec 設定をファイルからのみロードするときにクラッシュが発生する可能性がありました。* Dynsec プラグインは、ファイルから設定をロードする際に重複するクライアント/グループ/ロールを許可しません。この動作は、それらの作成時の動作と一致しています。* log_dest ファイルで破損した設定を読み取る際のヒープオーバーフローを修正します。クライアントライブラリ: * 利用可能な場合には CLOCK_BOOTTIME を使用して、時間を追跡します。これにより、クライアント OS がスリープ状態になり、クライアントがキープアライブ用の実際の時間を計算できないという問題が解決されます。* TLS v1.1 を不適切に許可するデフォルト設定を修正します。* 低速の TLS 接続での高い CPU 使用率を修正します。クライアント: * mosquitto_sub json 出力のトピックエイリアスプロパティ値の誤りを修正します。* TLS 証明書検証のわかりにくいメッセージを修正します。アプリ: * mosquitto_passwd はバックアップファイルに mkstemp() を使用します。*「mosquitto_ctrl dynsec init」は、競合状態が発生しない限り、既存のファイルの上書きを拒否します。(CVE-2023-0809、CVE-2023-3592)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Ubuntu 20.04 ESM/22.04 LTS/23.04 主機上安裝的多個套件受到 USN-6492-1 公告中提及的多個弱點影響。

  - 在 Eclipse Mosquitto 1.6 至 2.0.10 版中，如果已連線至 MQTT v5 的已驗證用戶端傳送特製的 CONNECT 訊息給訊息代理程式，就會發生記憶體洩漏，可能會讓惡意使用者用來對訊息代理程式發動 DoS 攻擊。(CVE-2021-34431)

  - 在 Eclipse Mosquitto 2.0 至 2.0.11 版中，使用動態安全性 plugin 時，如果在持久用戶端離線的情況下撤銷用戶端訂閱某主題的能力，則不會撤銷該用戶端的現有訂閱。(CVE-2021-34434)

  - 在 Eclipse Mosquitto 1.6 至 2.0.11 版中，連線至大量使用者內容屬性的 MQTT v5 用戶端可造成過高的 CPU 使用率，進而導致缺乏效能並可能發生拒絕服務。(CVE-2021-41039)

  - 在 Mosquitto 2.0.16 之前的版本中，如果有非 CONNECT 封包的惡意初始封包，便會配置過多記憶體。(CVE-2023-0809)

  - 在 Eclipse Mosquitto 1.3.2 至 2.0.16 之前的 2.x 版 broker 中，存在記憶體洩漏問題，當用戶端傳送許多含有重複訊息 ID 的 QoS 2 訊息，且無法回應 PUBREC 命令時，可從遠端濫用此問題。發生此問題的原因是不當處理來自 libc send 函式的 EAGAIN。
    (CVE-2023-28366)

  - 在 Mosquitto 2.0.16 之前的版本中，當用戶端傳送 v5 CONNECT 封包並附上含有無效屬性類型的遺囑訊息時，便會發生記憶體洩漏。(CVE-2023-3592)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5511 公告中提及的多個弱點影響。

  - 在 Eclipse Mosquitto 2.0 至 2.0.11 版中，使用動態安全性 plugin 時，如果在持久用戶端離線的情況下撤銷用戶端訂閱某主題的能力，則不會撤銷該用戶端的現有訂閱。(CVE-2021-34434)

  - 在 Eclipse Mosquitto 1.6 至 2.0.11 版中，連線至大量使用者內容屬性的 MQTT v5 用戶端可造成過高的 CPU 使用率，進而導致缺乏效能並可能發生拒絕服務。(CVE-2021-41039)

  - 在 Eclipse Mosquitto 1.3.2 至 2.0.16 之前的 2.x 版 broker 中，存在記憶體洩漏問題，當用戶端傳送許多含有重複訊息 ID 的 QoS 2 訊息，且無法回應 PUBREC 命令時，可從遠端濫用此問題。發生此問題的原因是不當處理來自 libc send 函式的 EAGAIN。
    (CVE-2023-28366)

  - 2.0.17 Broker：* 修正「max_queued_messages 0」，使用戶端無法接收訊息 * 修正未正確設定的「max_inflight_messages」。應用程式：* 修正「mosquitto_passwd -U」備份檔案建立。
    2.0.16 安全性：* CVE-2023-28366：修正當用戶端傳送多個具有相同訊息 ID 的 QoS 2 訊息，但隨後從未回應 PUBREC 命令時，代理人中發生的記憶體洩漏。* CVE-2023-0809：修正根據非 CONNECT 封包的惡意初始封包配置的過度記憶體。* CVE-2023-3592：
    修正用戶端傳送遺願訊息中包含無效內容類型的 v5 CONNECT 封包時發生的記憶體洩漏問題。* Broker 現會拒絕嘗試發布至 $CONTROL/ 的 Will 訊息。* Broker 現可驗證 TLS 憑證或 TLS-PSK 身分中提供的使用者名稱是否為有效的 UTF-8。* 修正載入無效持續性檔案時可能發生的當機。* 程式庫將不再允許單一層級萬用字元憑證，例如
    *.com Broker：* 修正 $SYS 訊息在 60 秒後過期而導致未變更的值消失的問題。* 修正使用後未立即清除某些保留的主題記憶體。* 修正與「bind_interface」選項相關的錯誤處理。* 修正在程序化 (構建已移除宣告) 時 std* 檔案未重新導向的問題。* 修正未正確允許 TLS v1.1 的預設設定。* 針對 stdout 使用行緩沖模式。關閉 #2354。* 修正具有不相符 cleansession/local_cleansession 的橋接器，該橋接器會在從持續性還原後開始時到期。* 修正在 Windows 上限制為 2048 的連線。在支援的情況下，現在的限制為 8192。* 如果敏感檔案是任何人皆可讀取/寫入，或者擁有者/群組與執行 Broker 的使用者/群組不同，Broker 會記錄警告。在未來版本中，代理程式將拒絕開啟這些檔案。* mosquitto_memcmp_const 現在多是常數時間。* 如果已啟用 DLT 記錄，則僅使用 DLT 註冊。* 修正 json 字串可能未正確載入的任何情況。僅在從檔案載入 dynsec 組態時，如果角色的文字名稱或文字描述欄位不是字串，這可造成當機。* Dynsec plugin 在從檔案載入組態時，將不允許重複的用戶端/群組/角色，其符合建立時的行為。* 修正使用 log_dest 檔案讀取損毀組態時的堆積溢位。用戶端程式庫：* 使用可用的 CLOCK_BOOTTIME 追踪時間。這可解決用戶端 OS 睡眠的問題，以及用戶端因此無法計算 keepalive 用途的實際時間的問題。* 修正未正確允許 TLS v1.1 的預設設定。* 修正慢速 TLS 連線時高 CPU 使用率的問題。用戶端：* 修正 mosquitto_sub json 輸出中不正確的主題別名內容值。* 修正 TLS 憑證驗證時令人混淆的訊息。應用程式：* mosquitto_passwd 使用 mkstemp() 進行備份檔案。*「mosquitto_ctrl dynsec init」將拒絕覆寫沒有爭用情形的現有檔案。(CVE-2023-0809、 CVE-2023-3592)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Debian 11 / 12 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-5511 advisory.

    Several security vulnerabilities have been discovered in mosquitto, a MQTT compatible message broker,     which may be abused for a denial of service attack. CVE-2021-34434 In Eclipse Mosquitto when using the     dynamic security plugin, if the ability for a client to make subscriptions on a topic is revoked when a     durable client is offline, then existing subscriptions for that client are not revoked. CVE-2023-0809 Fix     excessive memory being allocated based on malicious initial packets that are not CONNECT packets.
    CVE-2023-3592 Fix memory leak when clients send v5 CONNECT packets with a will message that contains     invalid property types. CVE-2023-28366 The broker in Eclipse Mosquitto has a memory leak that can be     abused remotely when a client sends many QoS 2 messages with duplicate message IDs, and fails to respond     to PUBREC commands. This occurs because of mishandling of EAGAIN from the libc send function. Additionally     CVE-2021-41039 has been fixed for Debian 11 Bullseye. CVE-2021-41039 An MQTT v5 client connecting with a     large number of user-property properties could cause excessive CPU usage, leading to a loss of performance     and possible denial of service. For the oldstable distribution (bullseye), these problems have been fixed     in version 2.0.11-1+deb11u1. For the stable distribution (bookworm), these problems have been fixed in     version 2.0.11-1.2+deb12u1. We recommend that you upgrade your mosquitto packages. For the detailed     security status of mosquitto please refer to its security tracker page at: https://security-     tracker.debian.org/tracker/mosquitto

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 11/12 主机上安装的多个程序包受到 dsa-5511 公告中提及的多个漏洞影响。

  - 在 Eclipse Mosquitto 2.0 至 2.0.11 版中，当使用动态安全插件时，如果在持久客户端脱机时撤销客户端订阅主题的能力，则不会撤销该客户端的现有订阅。(CVE-2021-34434)

  - 在 Eclipse Mosquitto 1.6 至 2.0.11 版中，连接大量用户属性的 MQTT v5 客户端可能会导致 CPU 使用率过高，从而导致性能损失并可能导致拒绝服务。(CVE-2021-41039)

  - 在 Eclipse Mosquitto 1.3.2 至 2.0.16 之前的 2.x 版中，代理存在内存泄漏，当客户端发送许多具有重复消息 ID 的 QoS 2 消息并且无法响应 PUBREC 命令时，该代理可能会被远程滥用。出现这种情况的原因是 libc 发送函数中对 EAGAIN 进行了错误处理。
    (CVE-2023-28366)

  - 2.0.17 代理：* 修复“max_queued_messages 0”阻止客户端接收消息 * 修复“max_inflight_messages”设置不正确。应用：* 修复“mosquitto_passwd -U”备份文件创建。
    2.0.16 安全性：* CVE-2023-28366：修复当客户端发送具有相同消息 ID 的多个 QoS 2 消息但从不响应 PUBREC 命令时代理中的内存泄漏。* CVE-2023-0809：修复基于非 CONNECT 数据包的恶意初始数据包分配的过多内存。* CVE-2023-3592：
    修复客户端发送带有包含无效属性类型的遗嘱消息的 v5 CONNECT 数据包时的内存泄漏。* 代理现在将拒绝尝试发布到 $CONTROL/ 的 Will 消息。* 代理现在会验证 TLS 证书或 TLS-PSK 身份中提供的用户名是否为有效的 UTF-8。* 修复加载无效持久性文件时潜在的崩溃。* 库将不再允许单级通配符证书，例如
    *.com 代理：* 修复 $SYS 消息在 60 秒后过期，因此未更改的值消失。* 修复部分保留主题内存使用后未立即清除的问题。* 修复与“bind_interface”选项相关的错误处理。* 修复在删除断言构建时守护进程时 std* 文件不被重定向的问题。* 修复错误地允许 TLS v1.1 的默认设置。* 对标准输出使用行缓冲模式。关闭 #2354。* 修复从持久性恢复后启动时过期的不匹配 cleansession/local_cleansession 的桥。* 修复 Windows 上的连接数限制为 2048。在受支持的情况下，限制现在为 8192。* 如果敏感文件是全局可读/可写的，或者所有者/组与代理运行时的用户/组不同，则代理将记录警告。在未来的版本中，代理将拒绝打开这些文件。* mosquitto_memcmp_const 现在多为恒定时间。* 如果启用了 DLT 日志记录，则仅向 DLT 注册。* 修复 json 字符串可能被错误加载的任何可能情况。仅从文件加载 dynsec 配置时，如果角色的文本名称或文本描述字段不是字符串，这可能会导致崩溃。* 从文件加载配置时，Dynsec 插件不允许重复的客户端/组/角色，这与创建它们时的行为相匹配。* 修复使用 log_dest 文件读取损坏配置时的堆溢出问题。客户端库：* 如果可行，请使用 CLOCK_BOOTTIME 来跟踪时间。这解决了客户端操作系统休眠和客户端因此无法计算保持活动的实际时间的问题。* 修复错误地允许 TLS v1.1 的默认设置。 * 修复慢速 TLS 连接时 CPU 使用率较高的问题。客户端：* 修复 mosquitto_sub json 输出中不正确的 topic-alias 属性值。* 修复 TLS 证书验证中令人困惑的消息。应用：* mosquitto_passwd 使用 mkstemp() 来备份文件。 *“mosquitto_ctrl dynsec init”将拒绝覆盖现有文件，没有竞争条件。（CVE-2023-0809、CVE-2023-3592）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 ESM / 22.04 LTS / 23.04 主机上安装的多个程序包受到 USN-6492-1 公告中提及的多个漏洞影响。

  - 在 Eclipse Mosquitto 版本 1.6 到 2.0.10中，如果与 MQTT v5 连接的经过身份验证的客户端向代理发送构建的 CONNECT 消息，则会发生内存泄漏，这可用于对代理执行 DoS 攻击。(CVE-2021-34431)

  - 在 Eclipse Mosquitto 2.0 至 2.0.11 版中，当使用动态安全插件时，如果在持久客户端脱机时撤销客户端订阅主题的能力，则不会撤销该客户端的现有订阅。(CVE-2021-34434)

  - 在 Eclipse Mosquitto 1.6 至 2.0.11 版中，连接大量用户属性的 MQTT v5 客户端可能会导致 CPU 使用率过高，从而导致性能损失并可能导致拒绝服务。(CVE-2021-41039)

  - 在 2.0.16 之前的 Mosquitto 中，基于非 CONNECT 数据包的恶意初始数据包分配的过多内存。(CVE-2023-0809)

  - 在 Eclipse Mosquitto 1.3.2 至 2.0.16 之前的 2.x 版中，代理存在内存泄漏，当客户端发送许多具有重复消息 ID 的 QoS 2 消息并且无法响应 PUBREC 命令时，该代理可能会被远程滥用。出现这种情况的原因是 libc 发送函数中对 EAGAIN 进行了错误处理。
    (CVE-2023-28366)

  - 在 2.0.16 之前的 Mosquitto 中，当客户端发送带有包含无效属性类型的 will 消息的 v5 CONNECT 数据包时，会发生内存泄漏。(CVE-2023-3592)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
186038	Ubuntu 20.04 ESM / 22.04 LTS / 23.04 : Mosquitto vulnerabilities (USN-6492-1)	Nessus	Ubuntu Local Security Checks	11/21/2023	9/3/2025	medium
186038	Ubuntu 20.04ESM / 22.04LTS / 23.04: Mosquitto の脆弱性 (USN-6492-1)	Nessus	Ubuntu Local Security Checks	11/21/2023	9/3/2025	medium
182418	DebianDSA-5511-1: mosquitto - セキュリティ更新	Nessus	Debian Local Security Checks	10/2/2023	1/24/2025	critical
186038	Ubuntu 20.04 ESM/22.04 LTS/23.04：Mosquitto 弱點 (USN-6492-1)	Nessus	Ubuntu Local Security Checks	11/21/2023	9/3/2025	medium
182418	Debian DSA-5511-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	10/2/2023	1/24/2025	critical
182418	Debian DSA-5511-1 : mosquitto - security update	Nessus	Debian Local Security Checks	10/2/2023	1/24/2025	critical
182418	Debian DSA-5511-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	10/2/2023	1/24/2025	critical
186038	Ubuntu 20.04 ESM/22.04LTS/23.04：Mosquitto 漏洞 (USN-6492-1)	Nessus	Ubuntu Local Security Checks	11/21/2023	9/3/2025	medium

Detections

Analytics

Plugins Search

medium

medium

critical

medium

critical

critical

critical

medium