2017-0935: Mosquitto: Eine Schwachstelle ermöglicht das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2017-05-30 15:19)

Neues Advisory

Version 2 (2017-05-31 11:27)

Für Fedora EPEL 7 steht ein Sicherheitsupdate auf Mosquitto 1.4.12 im Status 'testing' bereit.

Betroffene Software

Netzwerk
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Ein entfernter oder lokaler, einfach authentisierter Angreifer kann eine Schwachstelle in Mosquitto ausnutzen, um Zugriffssteuerungslisten (Access Control Lists, ACLs) zu umgehen und dadurch möglicherweise sensitive Informationen auszuspähen.

Der Hersteller behebt die Schwachstelle mit einem Sicherheitsupdate von Mosquitto auf Version 1.4.12. Ab dieser Programmversion können Clients, die die Zeichen '#', '+' oder '/' im Namen verwenden, keine Nachrichten mehr senden oder empfangen, für die musterbasierte Zugriffssteuerungslisten (Pattern based ACLs) verwenden werden oder für die Plugins von Drittanbietern solche Zugriffsprüfungen übernehmen.

Für Fedora 24, 25 und 26 stehen Sicherheitsupdates auf Mosquitto 1.4.12 im Status 'pending' bereit. Debian adressiert die Schwachstelle für die stabile Distribution Jessie über ein Backport-Sicherheitsupdate.

Schwachstellen:

CVE-2017-7650

Schwachstelle in Mosquitto ermöglicht Umgehen von Sicherheitsvorkehrungen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.