摘要:
mosquitto security update
安全等级: Critical
公告ID: KylinSec-SA-2024-4988
发布日期: 2025年8月15日
关联CVE: CVE-2024-10525 CVE-2024-3935
Mosquitto 是一款实现 MQTT 3.1 和 3.1.1 协议的开源消息代理。MQTT 通过发布/订阅模型提供轻量级消息传输机制，特别适用于"机器对机器"通信场景，如低功耗传感器、移动设备（手机）、嵌入式系统或 Arduino 等微控制器。
安全修复：
Eclipse Mosquitto 从 1.3.2 到 2.0.18 版本中，若恶意代理发送未包含原因代码的精心构造 SUBACK 数据包，使用 libmosquitto 的客户端在 on_subscribe 回调函数中可能出现内存越界访问。此漏洞影响 mosquitto_sub 和 mosquitto_rr 客户端。(CVE-2024-10525)
Eclipse Mosquitto 2.0.0 至 2.0.18 版本中，当代理配置为建立出向网桥连接，且该连接配置了使用主题重映射的入向主题时，若远程连接向代理发送精心构造的 PUBLISH 数据包，将引发双重释放问题并导致代理崩溃。(CVE-2024-3935)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2024-10525 | V6 | mosquitto | Fixed |
| CVE-2024-3935 | V6 | mosquitto | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| mosquitto | x86_64 | 2.0.20-2.ks6 |
| mosquitto-devel | x86_64 | 2.0.20-2.ks6 |
| mosquitto | aarch64 | 2.0.20-2.ks6 |
| mosquitto-devel | aarch64 | 2.0.20-2.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
