九游老哥云
Cesanta Mongoose多个误差
2017-11-01
综述
外地时间2017年10月31日，Talos团队宣布了多个关于Cesanta Mongoose的误差通告，涵盖代码执行，拒绝服务等共8个误差，其中包括多个CVSS 3.0评分为9.8分的高危误差 。Mongoose被称为GitHub上最受接待的嵌入式网络服务器，现在Mongoose已经更新修复了相关误差 。
相关链接：
https://cesanta.com/
https://www.talosintelligence.com/vulnerability_reports/#disclosed
受影响的版本
l Cesanta Mongoose 6.8
不受影响的版本
l Cesanta Mongoose 6.9
误差信息
|
误差 |
CVE编号 |
CVSS 3.0评分 |
|
Cesanta Mongoose Websocket Protocol Fragmented Packet Code Execution Vulnerability |
CVE-2017-2922 |
9.8 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
|
Cesanta Mongoose Websocket Protocol Packet Length Code Execution Vulnerability |
CVE-2017-2921 |
8.1 - CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
|
Cesanta Mongoose MQTT SUBSCRIBE Topic Length Information Leak |
CVE-2017-2895 |
8.2 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H |
|
Cesanta Mongoose MQTT SUBSCRIBE Multiple Topics Remote Code Execution |
CVE-2017-2894 |
9.8 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
|
Cesanta Mongoose MQTT SUBSCRIBE Command Denial Of Service |
CVE-2017-2893 |
7.5 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
|
Cesanta Mongoose MQTT Payload Length Remote Code Execution |
CVE-2017-2892 |
9.8 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
|
Cesanta Mongoose HTTP Server CGI Remote Code Execcution Vulnerability |
CVE-2017-2891 |
9.8 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
|
Cesanta Mongoose DNS Query Compressed Name Pointer Denial Of Service |
CVE-2017-2909 |
7.5 - CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
解决计划
Moogoose官方已经更新6.9版本修复了这些误差，请用户尽快升级至最新版本举行防护 。
参考链接：
https://github.com/cesanta/mongoose
https://cesanta.com/download.html
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
