DSA-4570-1 mosquitto -- обновление безопасности

Средняя (4.0)

(AV:N/AC:L/Au:S/C:N/I:N/A:P)

Debian

libmosquitto1 (any) libmosquitto-dev (any) libmosquittopp1 (any) libmosquittopp-dev (any) mosquitto (any) mosquitto-clients (any) mosquitto-dev (any)

В mosquitto, совместимом с MQTT версии 3.1/3.1.1 брокере сообщений,
была обнаружена уязвимость, позволяющая вредоносному MQTT-клиенту вызывать
отказ в обслуживании (переполнение стека и аварийная остановка службы) путём
отправки специально сформированного пакета SUBSCRIBE, содержащего тему с очень
глубокой иерархией.
В стабильном выпуске (buster) эта проблема была исправлена в
версии 1.5.7-1+deb10u1.
Рекомендуется обновить пакеты mosquitto.
С подробным статусом поддержки безопасности mosquitto можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/mosquitto">https://security-tracker.debian.org/tracker/mosquitto">https://security-tracker.debian.org/tracker/mosquitto

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 10:
noarch:
libmosquitto-dev - 1.5.7-1+deb10u1
libmosquitto1 - 1.5.7-1+deb10u1
libmosquittopp-dev - 1.5.7-1+deb10u1
libmosquittopp1 - 1.5.7-1+deb10u1
mosquitto - 1.5.7-1+deb10u1
mosquitto-clients - 1.5.7-1+deb10u1
mosquitto-dev - 1.5.7-1+deb10u1

Источник: CVE
Наименование: CVE-2019-11779
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11779

http://www.debian.org/security/dsa-4570/