PT-2021-6465 · Eclipse+1 · Eclipse Mosquitto+1

Bryan Pearson · Publicado 2021-06-10 · Atualizado 2025-03-10 · CVE-2021-34432

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Eclipse Mosquitto versões 2.07 e anteriores

Descrição

O problema está relacionado ao tratamento incorreto de um pacote PUBLISH com comprimento de tópico igual a 0, o que pode causar a falha do servidor. Isso pode ser explorado por um invasor remoto para interromper o serviço. A variável topic length é crucial neste contexto, pois defini-la como 0 provoca a falha.

Recomendações

Para as versões 2.07 e anteriores do Eclipse Mosquitto, como solução temporária, considere restringir o tratamento de pacotes PUBLISH com um topic length de 0 até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Resource Release

RCE

Enumeração de Fraquezas

CWE-404

CWE-20

Identificadores relacionados

ALT-PU-2023-4418

ALT-PU-2024-12359

ALT-PU-2025-3746

BDU:2022-01688

CVE-2021-34432

OESA-2022-1564

OESA-2022-2053

Produtos afetados

Alt Linux

Eclipse Mosquitto

Referências · 18

• 🔥 https://bugs.eclipse.org/bugs/show_bug.cgi?id=574141 · Exploit
• https://github.com/eclipse/mosquitto/commit/9b08faf0bdaf5a4f2e6e3dd1ea7e8c57f70418d6 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-34432 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2022-1564 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2022-2053 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-34432 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2021-34432 · Nota
• https://osv.dev/vulnerability/ALPINE-CVE-2021-34432 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-34432 · Nota de Segurança
• https://t.me/cvenotify/19532 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-34432 · Aviso do Fabricante
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-2053 · Nota
• https://cve.org/CVERecord?id=CVE-2021-34432 · Nota de Segurança
• https://t.me/cibsecurity/26544 · Publicação no Telegram
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1564 · Nota