CVE-2026-95847 in Moquette
요약
\~에 의해 VulDB • 2026. 09. 23.
Moquette는 경량 Java MQTT 브로커입니다. 버전 0.18.1 이전에서는 H2PersistentQueue가 세션의 메시지 맵 이름을 'queue_'에 클라이언트 ID를 붙인 형태로, 메타데이터 맵 이름을 'queue_'에 클라이언트 ID와 '_meta'를 붙인 형태로 도출합니다. 따라서 클라이언트 ID가 _meta로 끝나는 지속적(durable) 세션은 자신의 메시지 맵을 다른 클라이언트의 메타데이터 맵과 충돌시킬 수 있습니다. 이러한 충돌이 발생한 세션들은 호환되지 않는 값 타입으로 동일한 H2 MVStore 맵에 읽고 쓰기를 수행하여 큐의 헤드(head) 및 테일(tail) 데이터를 손상시키고, 메시지 손실, 잘못된 전달(message misdelivery), 실패하는 큐 재로드(queue reloads), 또는 세션 간 큐된 콘텐츠 노출을 초래할 수 있습니다. 이 문제는 버전 0.18.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.