CVE-2026-58213

NATS Server: injection protokołu przez filtry subskrypcji MQTT

CVSS 7.1v3.1pub. 2026-07-08upd. 2026-07-13

W NATS Server wykryto podatność typu injection (CWE-74), pozwalającą klientowi MQTT na wstrzyknięcie znaków sterujących protokołu do filtrów subskrypcji. Znaki te były następnie przesyłane jako dane protokołu NATS do połączeń route lub leafnode, co umożliwia atakującemu wykonanie niezamierzonych operacji protokołu NATS.

▸ Pokaż oryginał (EN)

NATS Server is a high-performance server for NATS.io, the cloud and edge native messaging system. Prior to 2.14.1 and 2.12.9, an MQTT client could include protocol control characters in subscription filters that were later forwarded as NATS protocol data to route or leafnode connections, corrupting the forwarded protocol stream and allowing injection of unintended NATS protocol operations. This issue is fixed in versions 2.14.1 and 2.12.9.

🤖 Analiza AI

Jak działa

Klient MQTT może umieścić znaki kontrolne protokołu w filtrach subskrypcji wysyłanych do serwera. NATS Server nie weryfikuje poprawnie tych danych przed ich przekazaniem do połączeń route lub leafnode. Powoduje to uszkodzenie przesyłanego strumienia protokołu NATS i umożliwia wstrzyknięcie niezamierzonych operacji protokołu, które są interpretowane przez odbierające węzły jako legalne polecenia.

Skutki

Uwierzytelniony zdalny atakujący może wstrzyknąć niezamierzone operacje protokołu NATS do strumienia komunikacji między węzłami, potencjalnie uzyskując nieautoryzowany dostęp do poufnych danych przesyłanych w klastrze oraz modyfikując ograniczonym zakresie jego zachowanie.

Mitygacja

Należy zaktualizować NATS Server do wersji 2.14.1 lub 2.12.9, w których problem został naprawiony. Patche dostępne są w repozytorium projektu na GitHub.