This update for mosquitto fixes the following issues :

Security issues fixed :

  - CVE-2018-12546: Fixed an issue with revoked access to     topics (bsc#1125019).

  - CVE-2018-12551: Fixed an issue which allowed malformed     data in the password file to be treated as valid     (bsc#1125020).

  - CVE-2018-12550: Fixed an an issue which treats an empty     ACL file wrongly (bsc#1125021).

Three vulnerabilities were discovered in the Mosquitto MQTT broker, which could result in authentication bypass. Please refer to https://mosquitto.org/blog/2019/02/version-1-5-6-released/ for additional information.

Fixes for the following CVES :

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

The list of other fixes addressed in version 1.5.6 is: Broker :

  - Fixed comment handling for config options that have     optional arguments.

  - Improved documentation around bridge topic remapping.

  - Handle mismatched handshakes (e.g. QoS1 PUBLISH with     QoS2 reply) properly.

  - Fix spaces not being allowed in the bridge     remote_username option. Closes #1131.

  - Allow broker to always restart on Windows when using     log_dest file. Closes #1080.

  - Fix Will not being sent for Websockets clients. Closes     #1143.

  - Windows: Fix possible crash when client disconnects.
    Closes #1137.

  - Fixed durable clients being unable to receive messages     when offline, when per_listener_settings was set to     true. Closes #1081.

  - Add log message for the case where a client is     disconnected for sending a topic with invalid UTF-8.
    Closes #1144.

Library :

  - Fix TLS connections not working over SOCKS.

  - Don't clear SSL context when TLS connection is closed,     meaning if a user provided an external SSL_CTX they have     less chance of leaking references.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

次のCVEを修正します：

  - CVE-2018-12546

  - CVE-2018-12550

  - CVE-2018-12551 

バージョン1.5.6で対処された他の修正のリストは、次のとおりです：Broker：

  - オプションの引数を持つ構成オプションのコメント処理を修正しました。

  - ブリッジトピックの再マッピングに関するドキュメントを改善しました。

  - 一致しないハンドシェイク（例：QoS2返信によるQoS1 PUBLISH）を適切に処理します。

  - ブリッジのremote_usernameオプションで許可されていないスペースを修正します。#1131 を閉じます。

  - log_destファイルを使用する際、ブローカーがWindows上で常に再起動できるようにします。#1080 を閉じます。

  - 修正がWebsocketクライアントに送信されていません。#1143 を閉じます。

  - Windows：クライアントが切断する際に起こり得るクラッシュを修正します。
    #1137 を閉じます。

  - per_listener_settingsがtrueに設定されているときに、オフライン時に恒久クライアントがメッセージを受信できない問題を修正しました。#1081 を閉じます。

  - 無効なUTF-8でトピックを送信したためにクライアントが切断された場合のログメッセージを追加します。
    #1144 を閉じます。

ライブラリ：

  - SOCKSで機能しないTLS接続を修正します。

  - TLS接続が閉じられたときにSSLコンテキストをクリアしないため、ユーザーが外部SSL_CTXを提供した場合に、参照が漏洩する可能性が低くなります。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Mosquitto MQTTブローカーに3つの脆弱性が見つかりました。これにより、認証バイパスが発生する可能性があります。詳細については、 https://mosquitto.org/blog/2019/02/version-1-5-6-releasedを参照してください。

このmosquittoの更新では次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-12546：トピックに対するアクセスが取り消される問題を修正しました（bsc#1125019）。

  - CVE-2018-12551：パスワードファイル内の無効な形式のデータが有効として扱われる問題を修正しました（bsc#1125020）。

  - CVE-2018-12550：誤って空のACLファイルを扱う問題を修正しました（bsc#1125021）。

Mosquitto MQTT 代理中发现三个漏洞，可能会造成身份验证绕过。有关更多信息，请参阅 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - When Eclipse Mosquitto version 1.0 to 1.5.5 (inclusive) is configured to use an ACL file, and that ACL     file is empty, or contains only comments or blank lines, then Mosquitto will treat this as though no ACL     file has been defined and use a default allow policy. The new behaviour is to have an empty ACL file mean     that all access is denied, which is not a useful configuration but is not unexpected. (CVE-2018-12550)

Note that Nessus relies on the presence of the package as reported by the vendor.

Several issues have been found in mosquitto, a MQTT version 3.1/3.1.1 compatible message broker.

CVE-2017-7655

A Null dereference vulnerability in the Mosquitto library could lead to crashes for those applications using the library.

CVE-2018-12550

An ACL file with no statements was treated as having a default allow policy. The new behaviour of an empty ACL file is a default policy of access denied. (this is in compliance with all newer releases)

CVE-2018-12551

Malformed authentication data in the password file could allow clients to circumvent authentication and get access to the broker.

CVE-2019-11779

Fix for processing a crafted SUBSCRIBE packet containing a topic that consists of approximately 65400 or more '/' characters. (setting TOPIC_HIERARCHY_LIMIT to 200)

For Debian 8 'Jessie', these problems have been fixed in version 1.3.4-2+deb8u4.

We recommend that you upgrade your mosquitto packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

在 Mosquitto MQTT 代理程式中發現三個弱點，可能導致身份驗證繞過。如需其他資訊，請參閱 https://mosquitto.org/blog/2019/02/version-1-5-6-released/。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Eclipse Mosquitto バージョン 1.0 から 1.5.5 包括性が ACL ファイルを使用するように構成され、その ACL ファイルが空の場合、またはコメントまたは空白行のみが含まれている場合、Mosquitto はこれを ACL ファイルが定義されていないように扱い、デフォルトの許可ポリシーを使用します。新しい動作は ACL ファイルを用意してすべてのアクセスを拒否するようになっています。これは有用な設定ではありませんが、想定外の設定でもありません。CVE-2018-12550

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

MQTTバージョン3.1/3.1.1互換のメッセージブローカーmosquittoで、いくつかの問題が見つかりました。

CVE-2017-7655

MosquittoライブラリにNull間接参照脆弱性があるため、このライブラリを使用するアプリケーションがクラッシュする可能性があります。

CVE-2018-12550

ステートメントのないACLファイルが、デフォルトの許可ポリシーに従うものとして扱われていました。空のACLファイルの新しい動作は、アクセス拒否のデフォルトポリシーです。（すべての新しいリリースに準拠）

CVE-2018-12551

パスワードファイルの無効な形式の認証データにより、クライアントが認証を回避し、ブローカーへのアクセス権を取得する可能性があります。

CVE-2019-11779

約65400個以上の「/」文字で構成されるトピックを含む、細工されたSUBSCRIBEパケットを処理するための修正。（TOPIC_HIERARCHY_LIMITを200に設定）

Debian 8「Jessie」では、これらの問題はバージョン1.3.4-2+deb8u4で修正されました。

お使いのmosquittoのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 當 Eclipse Mosquitto 1.0 至 1.5.5 (含) 版設定為使用 ACL 檔案且該 ACL 檔案為空或僅包含註解或空白行時則 Mosquitto 會將此視為未定義任何 ACL 檔案且使用預設的允許原則。新行為是擁有一個空白 ACL 檔案表示所有存取都會遭到拒絕這雖然不是實用的組態但也並非未預期。 (CVE-2018-12550)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

在 mosquitto (與 MQTT 3.1/3.1.1 版相容的訊息代理程式) 中發現數個問題。

CVE-2017-7655

Mosquitto 程式庫中存在 Null 解除參照弱點，可導致使用該程式庫的應用程式當機。

CVE-2018-12550

沒有陳述式的 ACL 檔案被視為具有預設允許原則。空 ACL 檔案的新行為是預設的拒絕存取原則。(符合所有較新的版本)

CVE-2018-12551

密碼檔案中格式錯誤的驗證資料可讓用戶端規避驗證，並取得對代理人的存取權。

CVE-2019-11779

針對處理建構的 SUBSCRIBE 封包的修正，該封包包含一個由約 65400 個或更多「/」字元組成的主題。(將 TOPIC_HIERARCHY_LIMIT 設為 200)

針對 Debian 8「Jessie」，已在 1.3.4-2+deb8u4 版本中修正這些問題。

建議您升級 mosquitto 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当 Eclipse Mosquitto 版本 1.0 至 1.5.5 含配置为使用 ACL 文件且该 ACL 文件为空或仅包含注释或空行时则 Mosquitto 会将此视为未定义 ACL 文件并且使用默认允许策略。新的行为是拥有空的 ACL 文件意味着所有访问都会被拒绝这不是有用的配置但并不意外。 (CVE-2018-12550)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 mosquitto（兼容 MQTT 版本 3.1/3.1.1 的消息代理）中发现多个问题。

CVE-2017-7655

Mosquitto 库中存在空取消引用漏洞，可导致使用该库的那些应用程序崩溃。

CVE-2018-12550

无语句的 ACL 文件被视为具有默认许可策略。空 ACL 文件的新行为是访问被拒的默认策略。 （这符合所有较新的版本）

CVE-2018-12551

密码文件中存在格式错误的身份验证数据，可导致客户端避开身份验证并访问代理。

CVE-2019-11779

针对处理构建的 SUBSCRIBE 数据包（有大约包含 65400 个或更多 '/' 字符的主题）进行修复。（将 TOPIC_HIERARCHY_LIMIT 设置为 200）

对于 Debian 8“Jessie”，这些问题已在版本 1.3.4-2+deb8u4 中修复。

建议您升级 mosquitto 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
122417	openSUSE Security Update : mosquitto (openSUSE-2019-233)	Nessus	SuSE Local Security Checks	2019/2/25	2025/3/20	high
122069	Debian DSA-4388-1 : mosquitto - security update	Nessus	Debian Local Security Checks	2019/2/11	2025/3/20	high
122285	Fedora 28 : mosquitto (2019-8cbe2a05cd)	Nessus	Fedora Local Security Checks	2019/2/19	2025/3/20	high
122285	Fedora 28：mosquitto（2019-8cbe2a05cd）	Nessus	Fedora Local Security Checks	2019/2/19	2025/3/20	high
122069	DebianDSA-4388-1: mosquitto - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/2/11	2025/3/20	high
122417	openSUSEセキュリティ更新プログラム：mosquitto（openSUSE-2019-233）	Nessus	SuSE Local Security Checks	2019/2/25	2025/3/20	high
122069	Debian DSA-4388-1：mosquitto - 安全更新	Nessus	Debian Local Security Checks	2019/2/11	2025/3/20	high
257708	Linux Distros Unpatched Vulnerability : CVE-2018-12550	Nessus	Misc.	2025/8/27	2025/8/27	high
130285	Debian DLA-1972-1 : mosquitto security update	Nessus	Debian Local Security Checks	2019/10/28	2025/2/24	high
122069	Debian DSA-4388-1：mosquitto - 安全性更新	Nessus	Debian Local Security Checks	2019/2/11	2025/3/20	high
257708	Linux Distros のパッチ未適用の脆弱性: CVE-2018-12550	Nessus	Misc.	2025/8/27	2025/8/27	high
130285	Debian DLA-1972-1 : mosquittoセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/28	2025/2/24	high
257708	Linux Distros 未修補的弱點：CVE-2018-12550	Nessus	Misc.	2025/8/27	2025/8/27	high
130285	Debian DLA-1972-1：mosquitto 安全性更新	Nessus	Debian Local Security Checks	2019/10/28	2025/2/24	high
257708	Linux Distros 未修补的漏洞：CVE-2018-12550	Nessus	Misc.	2025/8/27	2025/8/27	high
130285	Debian DLA-1972-1：mosquitto 安全更新	Nessus	Debian Local Security Checks	2019/10/28	2025/2/24	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high