MQTT用のクライアントライブラリ「MQTT.js」にDoS攻撃を受ける脆弱性(JVN)
IPAおよびJPCERT/CCは、MQTT.jsが提供するMQTT用のクライアントライブラリ「MQTT.js」に、PUBLISHパケットの扱いに関する問題が存在すると「JVN」で発表した。
脆弱性と脅威
セキュリティホール・脆弱性
「MQTT.js 2.15.0 より前の 2 系」には、PUBLISHパケットの扱いに関する脆弱性(CVE-2017-10910)が存在する。この脆弱性により、MQTTのBrokerから多数のPUBLISHパケットを受信することで、DoS)攻撃を受ける可能性がある。JVNでは、MQTT.jsを使用したアプリケーションを開発している場合、MQTT.jsをアップデートしてからアプリケーションをリビルドするよう呼びかけている。
《吉澤 亨史( Kouji Yoshizawa )》