CVE-2025-10543
Açıklama
Eclipse Paho Go MQTT v3.1 kütüphanesinin (paho.mqtt.golang) <=1.5.0 sürümlerinde, kütüphaneye iletilen UTF-8 kodlu dizelerin uzunluğu 65535 baytı aşarsa bu dizeler yanlış kodlanabilir. Bu durum, sunucuya gönderilen paketlerde beklenmedik içeriklerin oluşmasına yol açabilir (örneğin, bir MQTT konusunun bir kısmı, bir PUBLISH paketindeki mesaj gövdesine sızabilir). Sorun, iletilen verilerin uzunluğunun, taşma kontrolleri yapılmadan int64/int32'den (CPU'ya bağlı olarak) int16'ya dönüştürülmesinden kaynaklanmaktadır. Ardından int16 uzunluk değeri yazılmış ve bunu veri (örneğin konu) takip etmiştir. Bu durum, veri (örneğin konu) 65535 bayttan fazla olduğunda, yazılan veri miktarının uzunluk alanının belirttiği miktarı aşması anlamına gelmektedir. Bu durum bozuk bir pakete yol açabilir veya fazla verilerin başka bir alana sızmasıyla sonuçlanabilir (örneğin konunun mesaj gövdesine sızması).
Nasıl düzeltilir
- github.com/eclipse/paho.mqtt.golang1.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse paho_mqtt | v ≤ 1.5.0 | — |
| github.com/eclipse/paho.mqtt.golangGo | v < 1.5.1 | 1.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.