JVNDB-2026-035772

Moquetteにおける入力確認に関する脆弱性

Moquetteは軽量なJava MQTTブローカーです。バージョン0.18.1より前では、PostOffice.subscribeはSharedSubscriptionUtils.extractShareNameを通じて共有サブスクリプションフィルターを解析し、その後、完全な$share/{shareName}/{topicFilter}構造であることを検証していました。リモートクライアントは、トピックフィルター部分がない$share/grpのようなフィルターを送信することができ、その結果、共有名の計算中にStringIndexOutOfBoundsExceptionが発生します。この例外により共有セッションのイベントループでのコマンド処理が終了し、そのループに割り当てられている他のクライアントセッションへのサービス拒否が発生する可能性があります。この問題はバージョン0.18.1で修正されています。

Moquette

• Moquette 0.18.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Pattern-ACL wildcard injection (cross-tenant authorization bypass) plus a remote-unauthenticated DoS cluster, a Will-message authorization bypass, and a cross-session durable-corruption bug  Advisory  moquette-io/moquette  GitHub

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-95843

1. National Vulnerability Database (NVD) : CVE-2026-95843
2. 関連文書 : Backport 958 0.18 by andsel  Pull Request #962  moquette-io/moquette
3. 関連文書 : Release Release 0.18.1  moquette-io/moquette  GitHub
4. 関連文書 : Backport 958 0.18 (#962)  moquette-io/moquette@affdc71  GitHub

• [2026年09月28日]
    掲載