CVE-2026-63341 in Aedes
요약
\~에 의해 VulDB • 2026. 10. 31.
Aedes는 모든 스트림 서버에서 실행할 수 있는 MQTT 브로커입니다. 버전 1.1.1 이전에서는 MQTT 브로커가 `mqemitter`를 통해 `qlobber`로 주제를 전달하기 전에 주제 깊이(topic depth)나 구조적 복잡성을 제한하지 않습니다. 지나치게 깊은 주제를 포함하는 `PUBLISH`, `SUBSCRIBE` 또는 등록된 `Will` 메시지는 `lib/qlobber.js`의 `qlobber._split_words`에 도달하여 'too many words'라는 처리되지 않은 예외(uncaught exception)를 유발할 수 있습니다. `handlers/subscribe.js`에서의 호출과 게시(publishing) 로직은 이러한 예외로부터 보호되지 않으므로, 해당 예외가 `Node.js 이벤트 루프(Node.js event loop)`로 유출되어 브로커 전체가 종료됩니다. `Will` 경로는 클라이언트가 비정상적으로 연결 해제될 때 독립적으로 접근 가능합니다: 이는 `broker.publish`를 직접 호출하여 `PUBLISH` 핸들러를 우회합니다. 공격자는 브로커 구성에 따라 인증된 또는 미인증 상태의 `MQTT 세션(MQTT session)`을 설정할 수 있어야 합니다. 성공적인 공격은 모든 정당한 클라이언트의 연결을 끊고, 브로커 프로세스가 재시작될 때까지 재연결을 방지합니다. 이 문제는 버전 1.1.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.