BDU:2022-01688 (CVE-2021-34432)

Уязвимость брокера сообщений Mosquitto, связанная с ошибками при освобождении ресурсов, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-04-01

Описание

Уязвимость брокера сообщений Mosquitto связана с некорректной обработкой пакета PUBLISH с длиной темы равной нулю. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Debian GNU/Linux (11)Eclipse Mosquitto (до 2.0.7 включительно)

Способ устранения

Для Mosquitto:
использование рекомендаций производителя: https://github.com/eclipse/mosquitto/commit/9b08faf0bdaf5a4f2e6e3dd1ea7e8c57f70418d6

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-34432

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://bugs.eclipse.org/bugs/show_bug.cgi?id=574141 https://github.com/eclipse/mosquitto/commit/9b08faf0bdaf5a4f2e6e3dd1ea7e8c57f70418d6 https://nvd.nist.gov/vuln/detail/CVE-2021-34432 https://security-tracker.debian.org/tracker/CVE-2021-34432

Проверьте безопасность своего сайта и почты → Полная проверка домена