JVNDB-2026-035795

Moquetteにおける安全でない失敗処理に関する脆弱性

Moquetteは軽量なJava MQTTブローカーです。バージョン0.18.1以前では、設定された認証クラスや認可クラスが読み込めない場合、Server.initializeAuthenticatorおよびServer.initializeAuthorizatorPolicyは、あたかもカスタムクラスが設定されていないかのように扱い、AcceptAllAuthenticatorまたはPermitAllAuthorizatorPolicyにフォールバックします。そのため、クラス名の誤字、依存関係の欠如、コンストラクタの失敗、またはクラスパスの問題により、オペレーターがこれらの制御を設定していても認証や認可が無効になった状態でブローカーが起動してしまう恐れがあります。この問題はバージョン0.18.1で修正されました。

Moquette

• Moquette 0.18.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Pattern-ACL wildcard injection (cross-tenant authorization bypass) plus a remote-unauthenticated DoS cluster, a Will-message authorization bypass, and a cross-session durable-corruption bug  Advisory  moquette-io/moquette  GitHub

1. 安全でない失敗処理(CWE-636) [その他]

1. CVE-2026-95848

1. National Vulnerability Database (NVD) : CVE-2026-95848
2. 関連文書 : Fail closed when a configured authorizator/authenticator class fails to load by gigioneggiando  Pull Request #967  moquette-io/moquette
3. 関連文書 : Release Release 0.18.1  moquette-io/moquette  GitHub
4. 関連文書 : Fail closed when a configured authorizator/authenticator class fails …  moquette-io/moquette@14a2f4f  GitHub

• [2026年09月29日]
    掲載