CVE-2026-33217
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W serwerze NATS-Server przed wersjami 2.11.15 i 2.12.6 listy kontroli dostępu (ACL) dla tematów wiadomości nie były stosowane w przestrzeni nazw $MQTT.>, co umożliwiało klientom MQTT ominięcie kontroli ACL dla tematów MQTT. Luka została naprawiona w wersjach 2.11.15 i 2.12.6.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do tematów MQTT, co może prowadzić do wycieku danych lub nieuprawnionego sterowania urządzeniami IoT.
Rekomendacja
Należy niezwłocznie zaktualizować serwer NATS-Server do wersji 2.11.15 lub 2.12.6. Nie są dostępne żadne tymczasowe obejścia.
Inne podatności w NATS-Server
Zobacz wszystkie- CVE-2026-58211Średnie
W serwerze NATS Server przed wersjami 2.14.3 i 2.12.12 klient mógł zostać zarejestrowany jako skonfigurowany no_auth_user poprzez ścieżkę parsera używaną, gdy pierwsza operacja klienta nie była CONNECT, co omijało ograniczenia połączeń na poziomie użytkownika, takie jak allowed_connection_types czy proxy_required, które normalnie stosuje uwierzytelnianie.
- CVE-2026-58208Średnie
Podatność w serwerze NATS pozwala nieuwierzytelnionemu klientowi na wysłanie żądania WebSocket dla protokołu MQTT, nawet gdy MQTT nie jest skonfigurowane. Prowadzi to do dostępu do niezainicjalizowanego stanu MQTT i awarii procesu serwera.
- CVE-2026-58207Wysokie
Podatność w serwerze NATS Server przed wersjami 2.14.3 i 2.12.12 pozwala klientowi na wysłanie żądania monitorowania połączeń z zakresem stronnicowania (Offset i Limit), które powodują przepełnienie arytmetyki wewnętrznej, co może doprowadzić do awarii serwera.
- CVE-2026-58254Średnie
W serwerze NATS przed wersjami 2.14.3 i 2.12.8 sprawdzanie docelowych tematów śledzenia wiadomości było stosowane do zwykłych połączeń klienckich, ale nie było konsekwentnie egzekwowane dla wiadomości przychodzących przez połączenia liściaste (leafnode). Pozwalało to operatorowi węzła liściastego wysyłać zdarzenia śledzenia do tematów, które w innym przypadku byłyby zabronione, oraz wykorzystywać zachowanie tylko do śledzenia, aby uniemożliwić normalne dostarczanie lub przechowywanie dotkniętych wiadomości.
- CVE-2026-58253Wysokie
W serwerze NATS wykryto podatność polegającą na tym, że gdy skonfigurowano opcję no_auth_user, szybka ścieżka parsera przeznaczona dla zwykłych połączeń klienckich mogła zostać zastosowana również do nasłuchiwania tras lub liści, umożliwiając nieuwierzytelnionemu peerowi ominięcie uwierzytelniania CONNECT między serwerami i działanie z uprawnieniami przypisanymi do tego typu połączenia.
- CVE-2026-58252Średnie
Podatność w serwerze NATS pozwala uwierzytelnionemu użytkownikowi odbierać wiadomości na zabronionych tematach, gdy subskrypcja z użyciem symboli wieloznacznych pokrywa się z regułą blokowania, ale nie jest jej podzbiorem. Dodatkowo subskrypcje kolejkowane mogą wpływać na dostarczanie wiadomości do legalnych konsumentów.
- CVE-2026-58251Średnie
W serwerze NATS wykryto podatność, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do odmowy subskrypcji na ominięcie reguły blokującej dostęp do tematu (subject) poprzez użycie subskrypcji kolejki (queue subscription). Problem występuje, ponieważ ocena odmowy dla konkretnej kolejki może nadpisać wynik ogólnej reguły odmowy dla tematu, gdy sama nazwa kolejki nie jest objęta zakazem.
- CVE-2026-58250Wysokie
W serwerze NATS przed wersjami 2.12.8 i 2.11.17, nieuwierzytelniony klient z dostępem sieciowym do nasłuchiwacza leafnode z włączoną kompresją może spowodować awarię serwera poprzez wysyłanie powtarzających się komunikatów protokołu INFO przed zakończeniem uwierzytelniania i konfiguracji konta.
- CVE-2026-58214Średnie
W serwerze NATS przed wersjami 2.14.3 i 2.12.12 uwierzytelniony klient MQTT mógł subskrybować wewnętrzną rodzinę tematów $MQTT.deliver.pubrel, co pozwalało na ominięcie skonfigurowanych uprawnień subskrypcji i ujawnienie metadanych protokołu MQTT QoS2 dla sesji w ramach konta.
- CVE-2026-58213Wysokie
Podatność w serwerze NATS pozwala klientowi MQTT na wstrzykiwanie znaków kontrolnych protokołu do filtrów subskrypcji, które są następnie przekazywane jako dane protokołu NATS do połączeń routingu lub liścia, co może prowadzić do uszkodzenia strumienia protokołu i umożliwić nieautoryzowane operacje NATS.
Oryginalny opis (angielski, źródło NVD)
NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to versions 2.11.15 and 2.12.6, when using ACLs on message subjects, these ACLs were not applied in the `$MQTT.>` namespace, allowing MQTT clients to bypass ACL checks for MQTT subjects. Versions 2.11.15 and 2.12.6 contain a fix. No known workarounds are available.