CVE-2025-66023 in MQTT Broker
Riassunto
di VulDB • 27/06/2026
NanoMQ MQTT Broker (NanoMQ) è una piattaforma di messaggistica per l'edge completa e versatile. Le versioni precedenti alla 0.24.5 presentano una vulnerabilità Heap-Use-After-Free (UAF) all'interno del componente client del bridge MQTT (implementato tramite la libreria sottostante NanoNNG). La vulnerabilità viene attivata quando NanoMQ agisce da bridge per connettersi a un broker MQTT remoto. Un broker remoto malintenzionato può causare un crash (Denial of Service) o potenziali corruzioni della memoria accettando la connessione e inviando immediatamente una sequenza di pacchetti non conformi alla specifica. La versione 0.34.5 contiene una patch. La patch impone un'aderenza più rigorosa al protocollo nell'SDK MQTT client incorporato in NanoMQ. Nello specifico, garantisce che il CONNACK sia sempre il primo pacchetto elaborato nella sequenza. Ciò previene la confusione di stato che portava alla Heap-Use-After-Free (UAF) quando un server malintenzionato inviava una sequenza di pacchetti non conformi immediatamente dopo l'instaurazione della connessione. Come soluzione alternativa, validare il broker remoto prima del bridging.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.