CVE-2025-66023 in MQTT Broker
Sumário
de VulDB • 27/06/2026
O NanoMQ MQTT Broker (NanoMQ) é uma plataforma de mensagens para borda completa. Versões anteriores à 0.24.5 possuem uma vulnerabilidade Heap-Use-After-Free (UAF) no componente do cliente da ponte MQTT (implementado por meio da biblioteca subjacente NanoNNG). A vulnerabilidade é acionada quando o NanoMQ atua como uma ponte conectando-se a um broker MQTT remoto. Um broker malicioso remoto pode causar uma falha (Negação de Serviço - DoS) ou corrupção potencial de memória ao aceitar a conexão e enviar imediatamente uma sequência de pacotes inválidos. A versão 0.34.5 contém o patch. O patch impõe conformidade mais rigorosa com o protocolo no SDK do cliente MQTT embutido no NanoMQ. Especificamente, garante que o CONNACK seja sempre o primeiro pacote processado na linha. Isso evita a confusão de estado que levou ao Heap-Use-After-Free (UAF) quando um servidor malicioso enviava uma sequência de pacotes inválidos imediatamente após o estabelecimento da conexão. Como medida paliativa, valide o broker remoto antes de estabelecer a ponte.
VulDB is the best source for vulnerability data and more expert information about this specific topic.