PT-2024-38981 · Eclipse+3 · Eclipse Mosquitto+3

Martin Schneider + 3 · Publicado 2024-10-11 · Atualizado 2026-03-29 · CVE-2024-8376

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas:

Versões do Eclipse Mosquitto até a 2.0.18a

Descrição:

A vulnerabilidade permite que um invasor provoque vazamento de memória, falha de segmentação ou uso de memória após liberação (heap-use-after-free) ao enviar sequências específicas de pacotes, incluindo os pacotes “CONNECT”, “DISCONNECT”, “SUBSCRIBE”, ‘UNSUBSCRIBE’ e “PUBLISH”.

Recomendações:

Para as versões do Eclipse Mosquitto até 2.0.18a, considere restringir o tratamento dos pacotes “CONNECT”, “DISCONNECT”, “SUBSCRIBE”, “UNSUBSCRIBE” e “PUBLISH” até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Memory Leak

Improper Handling of Exceptional Conditions

Use After Free

Enumeração de Fraquezas

CWE-401

CWE-755

CWE-416

Identificadores relacionados

ALT-PU-2025-1041

ALT-PU-2025-3746

CVE-2024-8376

OESA-2024-2415

OESA-2024-2416

OESA-2024-2417

OESA-2024-2418

RHSA-2024:8718

RHSA-2024:8719

RHSA-2024:8906

Produtos afetados

Alt Linux

Debian

Eclipse Mosquitto

Red Os

Referências · 30

• https://github.com/eclipse/mosquitto/releases/tag/v2.0.19 · Correção
• https://github.com/eclipse-mosquitto/mosquitto/commit/1914b3ee2a18102d0a94cbdbbfeae1afa03edd17 · Correção
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2024-2416 · Nota
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/218 · Nota
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/227 · Nota
• https://security-tracker.debian.org/tracker/CVE-2024-8376 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-8376 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-8376 · Nota de Segurança
• https://reddit.com/r/debian/comments/1n79g7f/debian_131_and_1212_20250906 · Publicação no Reddit
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-mosquitto-cve-2024-8376 · Nota
• https://t.me/cvedetector/7692 · Publicação no Telegram
• https://osv.dev/vulnerability/OESA-2024-2415 · Aviso do Fabricante
• https://gitlab.eclipse.org/security/vulnerability-reports/-/issues/216 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-8376 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2024-2417 · Nota