Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-03295

Опубликовано: 03 дек. 2018
Источник: fstec
CVSS3: 8.1
CVSS2: 9.3
EPSS Низкий

Описание

Уязвимость конфигурации списка контроля доступа брокера сообщений Eclipse Mosquitto связана с недостаточной проверкой вводимых данных и некорректной реализацией функций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Вендор

Novell Inc.
Сообщество свободного программного обеспечения
Eclipse Foundation

Наименование ПО

OpenSUSE Leap
Debian GNU/Linux
Eclipse Mosquitto

Версия ПО

15.0 (OpenSUSE Leap)
8 (Debian GNU/Linux)
от 1.0 до 1.5.5 включительно (Eclipse Mosquitto)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Novell Inc. OpenSUSE Leap 15.0
Сообщество свободного программного обеспечения Debian GNU/Linux 8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Eclipse Mosquitto:
https://mosquitto.org/files/cve/2018-12550/
https://bugs.eclipse.org/bugs/show_bug.cgi?id=541870
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2019/10/msg00035.html
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2018-12550/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 64%
0.0047
Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
почти 7 лет назад

When Eclipse Mosquitto version 1.0 to 1.5.5 (inclusive) is configured to use an ACL file, and that ACL file is empty, or contains only comments or blank lines, then Mosquitto will treat this as though no ACL file has been defined and use a default allow policy. The new behaviour is to have an empty ACL file mean that all access is denied, which is not a useful configuration but is not unexpected.

CVSS3: 8.1
nvd
почти 7 лет назад

When Eclipse Mosquitto version 1.0 to 1.5.5 (inclusive) is configured to use an ACL file, and that ACL file is empty, or contains only comments or blank lines, then Mosquitto will treat this as though no ACL file has been defined and use a default allow policy. The new behaviour is to have an empty ACL file mean that all access is denied, which is not a useful configuration but is not unexpected.

CVSS3: 8.1
debian
почти 7 лет назад

When Eclipse Mosquitto version 1.0 to 1.5.5 (inclusive) is configured ...

CVSS3: 8.1
github
больше 3 лет назад

When Eclipse Mosquitto version 1.0 to 1.5.5 (inclusive) is configured to use an ACL file, and that ACL file is empty, or contains only comments or blank lines, then Mosquitto will treat this as though no ACL file has been defined and use a default allow policy. The new behaviour is to have an empty ACL file mean that all access is denied, which is not a useful configuration but is not unexpected.

suse-cvrf
почти 7 лет назад

Security update for mosquitto

EPSS

Процентиль: 64%
0.0047
Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2