CVE-2025-66023

NanoMQ MQTT Broker (NanoMQ), kapsamlı bir Edge Mesajlaşma Platformudur. 0.24.5 öncesindeki sürümler, MQTT köprü istemcisi bileşeninde (temeldeki NanoNNG kütüphanesi aracılığıyla uygulanan) bir Heap-Use-After-Free (UAF) zafiyetine sahiptir. Zafiyet, NanoMQ'nun uzak bir MQTT broker'ına bağlanan bir köprü olarak görev yaptığı durumlarda tetiklenir. Kötü niyetli bir uzak broker, bağlantıyı kabul edip hemen ardından hatalı bir paket dizisi göndererek sistemin çökmesine (Hizmet Reddi) veya potansiyel bellek bozulmasına neden olabilir. 0.34.5 sürümü bir yama içermektedir. Yama, NanoMQ'ya gömülü olan MQTT istemci SDK'sında daha sıkı protokol uyumluluğu sağlar. Özellikle, CONNACK paketinin satırda işlenen ilk paket olmasını garanti eder. Bu durum, kötü niyetli bir sunucunun bağlantı kurulduktan hemen sonra hatalı bir paket dizisi göndermesiyle ortaya çıkan ve Heap-Use-After-Free (UAF) ile sonuçlanan durum karmaşasını önler. Geçici çözüm olarak, köprüleme işleminden önce uzak broker doğrulanmalıdır.