В NanoMQ v0.21.10 обнаружен сбой сегментации, позволяющий злоумышленникам вызвать отказ в обслуживании (DoS) посредством специально сформир…

В NanoMQ v0.21.10 обнаружен сбой сегментации, позволяющий злоумышленникам вызвать отказ в обслуживании (DoS) посредством специально сформированных сообщений. Уязвимость позволяет удаленному атакующему вызвать сбой сегментации в брокере NanoMQ (commit ffd0e7b) путем отправки специально сформированного сетевого пакета. При обработке искаженного входного сигнала брокер разыменовывает недопустимый адрес памяти, что приводит к краху. Это приводит к состоянию отказа в обслуживании (DoS), поскольку процесс брокера неожиданно завершается. Для эксплуатации этой проблемы не требуется предварительной аутентификации, что делает ее уязвимостью с низкой сложностью, но с высоким уровнем воздействия в средах, где NanoMQ открыт для ненадежных клиентов [1]. Источники: - [1] https://github.com/songxpu/bug_report/blob/master/MQTT/NanoMQ/CVE-2024-42646.md - [2] https://github.com/nanomq/nanomq