JVNDB-2026-023379

Linux Foundationのnats-serverにおけるキャッチされない例外に関する脆弱性

NATS Serverは、クラウドおよびエッジネイティブなメッセージングシステムであるNATS.io向けの高性能サーバーです。バージョン2.14.3および2.12.12より前のバージョンでは、WebSocketリスナーがMQTT-over-WebSocketパスへのリクエストを、MQTTが設定されていない場合でもMQTT処理にルーティングしてしまうことがありました。このため、WebSocketリスナーにアクセスできる認証されていないクライアントが初期化されていないMQTT状態に到達し、サーバープロセスをクラッシュさせる可能性がありました。この問題はバージョン2.14.3および2.12.12で修正されています。

Linux Foundation

• nats-server 2.12.0 以上 2.12.12 未満
• nats-server 2.14.0 以上 2.14.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : MQTT-over-WebSocket Path Can Crash WebSocket-Only JetStream Servers Before MQTT Is Enabled  Advisory  nats-io/nats-server  GitHub

1. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-58208

1. National Vulnerability Database (NVD) : CVE-2026-58208
2. 関連文書 : [FIXED] WebSocket /mqtt upgrade panics when MQTT is disabled  nats-io/nats-server@837536b  GitHub
3. 関連文書 : Release Release v2.12.12  nats-io/nats-server  GitHub
4. 関連文書 : Release Release v2.14.3  nats-io/nats-server  GitHub
5. 関連文書 : [FIXED] WebSocket /mqtt upgrade panics when MQTT is disabled  nats-io/nats-server@73b3dd9  GitHub

• [2026年07月13日]
    掲載