PT-2026-29743 · Cocoamqtt · Cocoamqtt

T5Uki · Publicado 2026-04-02 · Atualizado 2026-04-03 · CVE-2026-30867

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions CocoaMQTT versões anteriores a 2.2.2

Description Uma falha existe na lógica de análise de pacotes do CocoaMQTT que permite a um atacante remoto, ou a um broker MQTT comprometido, causar a queda de aplicativos iOS/macOS/tvOS. A publicação de uma carga útil malformada de 4 bytes em um tópico compartilhado com a flag RETAIN definida como true faz com que o broker MQTT persista a carga útil. Quando um cliente vulnerável se conecta e se inscreve nesse tópico, o broker envia o pacote malformado, resultando em uma queda do aplicativo. Isso cria uma condição de negação de serviço persistente até que a mensagem retida seja removida do banco de dados do broker.

Recommendations Atualize o CocoaMQTT para a versão 2.2.2 ou posterior.

Correção

Assertion Failure

Enumeração de Fraquezas

CWE-617

Identificadores relacionados

CVE-2026-30867

GHSA-R3FR-7M74-Q7G2

Produtos afetados

Cocoamqtt

Referências · 8

• https://github.com/emqx/CocoaMQTT/pull/659 · Correção
• https://github.com/emqx/CocoaMQTT/security/advisories/GHSA-r3fr-7m74-q7g2 · Aviso do Fabricante
• https://github.com/emqx/CocoaMQTT/releases/tag/2.2.2 · Nota
• https://github.com/emqx/CocoaMQTT/commit/010bca6f61b97d726252f61641d331a2bf82b338 · Correção
• https://github.com/emqx/CocoaMQTT · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-30867 · Nota de Segurança
• https://twitter.com/CVEnew/status/2039744344534442058 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-r3fr-7m74-q7g2 · Aviso do Fabricante