CVE-2026-42209
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W FlashMQ przed wersją 1.26.1 zdalny klient z uprawnieniem do publikowania z opcją retained może zawiesić brokera, gdy zarówno set_retained_message_defer_timeout, jak i set_retained_message_defer_timeout_spread są skonfigurowane na wartości inne niż domyślne, powodując odmowę usługi. Jeśli anonimowe publikowanie retained jest dozwolone, uwierzytelnianie nie jest wymagane; w przeciwnym razie atakujący potrzebuje odpowiedniego uprawnienia do publikowania. Podatność naprawiono w wersji 1.26.1.
Ocena ryzyka
Może to prowadzić do niedostępności brokera MQTT, zakłócając komunikację urządzeń i aplikacji zależnych od FlashMQ. Ryzyko dotyczy środowisk z niestandardową konfiguracją opóźnień wiadomości retained.
Rekomendacja
Zaktualizuj FlashMQ do wersji 1.26.1 lub nowszej. Rozważ wyłączenie anonimowego publikowania retained i ograniczenie uprawnień publikowania do zaufanych klientów.
Inne podatności w FlashMQ
Zobacz wszystkie- CVE-2026-46411Średnie
FlashMQ przed wersją 1.26.2 pozwala autoryzowanym klientom na przekroczenie dozwolonego nadmiaru zapisu w buforze wyjściowym, co wyzwala wewnętrzny wyjątek bezpieczeństwa. Wyjątek ten znajduje się w ścieżce, która nie może zostać przechwycona, co prowadzi do przerwania działania serwera.
- CVE-2025-62723Średnie
FlashMQ, broker MQTT przeznaczony do środowisk wieloprocesorowych, przed wersją 1.23.2 ma podatność, która pozwala uwierzytelnionemu użytkownikowi tworzyć sesje i gromadzić wiadomości QoS. Gdy nie są wysyłane do klienta, nie są one zwalniane po wygaśnięciu sesji, co prowadzi do wyczerpania zasobów. Wersja 1.23.2 naprawia problem.
Oryginalny opis (angielski, źródło NVD)
FlashMQ is a MQTT broker/server, designed for multi-CPU environments. Prior to version 1.26.1, a remote client with retained publish permission can crash the FlashMQ broker when both set_retained_message_defer_timeout and set_retained_message_defer_timeout_spread are configured to non-default values, resulting in denial of service. If anonymous retained publishing is allowed, no authentication is required; otherwise, the attacker needs the corresponding publish permission. This issue has been patched in version 1.26.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS