JVNDB-2025-024884

Eclipse Foundationのpaho.mqttにおける複数の脆弱性

Eclipse Paho Go MQTT v3.1ライブラリ（paho.mqtt.golang）のバージョン1.5.0以下において、ライブラリに渡されるUTF-8エンコード文字列が65535バイトを超える長さの場合、誤ってエンコードされる可能性があります。これにより、サーバーに送信されるパケットの内容が予期せぬものになることがあり（例えば、PUBLISHパケット内でMQTTトピックの一部がメッセージ本文に漏れるなど）、問題が発生します。この問題は、渡されたデータの長さがint64またはint32（CPUに依存）からオーバーフローのチェックなしにint16に変換されていることに起因します。int16の長さが書き込まれ、その後にデータ（例：トピック）が続きます。つまり、データ（例：トピック）が65535バイトを超える場合、書き込まれるデータ量が長さフィールドの示す値を超えます。これにより、パケットが破損したり、余分なデータが別のフィールドに漏れる（例：トピックがメッセージ本文に漏れる）可能性があります。

Eclipse Foundation

• paho.mqtt 1.5.0 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Eclipse Foundation

• GitLab : paho.mqtt.golang (1.5.0) Protocol Smuggling (#254)  Issue  security/vulnerability-reports

1. 数値打ち切り誤差(CWE-197) [その他]
2. 数値型間の変換の誤り(CWE-681) [その他]

1. CVE-2025-10543

1. National Vulnerability Database (NVD) : CVE-2025-10543

• [2026年01月19日]
    掲載