CVE-2025-66023 in MQTT Broker
Tóm tắt
Bởi VulDB • 15/06/2026
NanoMQ MQTT Broker (NanoMQ) là một nền tảng truyền tin biên (Edge Messaging Platform) toàn diện. Các phiên bản trước 0.24.5 có lỗ hổng Heap-Use-After-Free (UAF) trong thành phần máy khách cầu nối MQTT (được triển khai thông qua thư viện NanoNNG nền tảng). Lỗ hổng này được kích hoạt khi NanoMQ hoạt động như một cầu nối kết nối với máy chủ MQTT từ xa. Một máy chủ từ xa độc hại có thể gây ra sự cố (Từ chối dịch vụ - DoS) hoặc hỏng hóc bộ nhớ tiềm tàng bằng cách chấp nhận kết nối và ngay lập tức gửi một chuỗi gói tin không hợp lệ. Phiên bản 0.34.5 chứa bản vá. Bản vá này thực thi việc tuân thủ giao thức nghiêm ngặt hơn trong bộ SDK máy khách MQTT được nhúng trong NanoMQ. Cụ thể, nó đảm bảo rằng CONNACK luôn là gói tin đầu tiên được xử lý trong luồng. Điều này ngăn ngừa sự nhầm lẫn trạng thái dẫn đến lỗi Heap-Use-After-Free (UAF) khi một máy chủ độc hại gửi một chuỗi gói tin không hợp lệ ngay sau khi thiết lập kết nối. Như một giải pháp tạm thời, hãy xác thực máy chủ từ xa trước khi thiết lập cầu nối.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.