NATS Server v2.14.3 多漏洞修复公告(MQTT/JWT/JetStream/DoS)

漏洞概述 在NATS Server v2.14.3版本中，修复了多个与安全相关的漏洞和问题，主要包括： 1. JWT默认权限刷新：当账户声明更新时，继承的JWT默认权限现在会被刷新。 2. 外部认证配置清理：当账户声明更新时，外部认证配置现在被正确清理。 3. PROXY协议检测：修复了 和PROXY v1地址族解析的问题。 4. 网关CONNECT处理：修复了网关CONNECT处理中的竞争条件。 5. 代理跟踪：修复了代理跟踪中并发更新导致的关闭客户端泄漏问题。 6. 服务导入回复：修复了跨路由传递服务导入回复的问题。 7. 消息跟踪：修复了服务导入和导出中的消息跟踪问题。 8. PANIC错误：修复了多个可能导致PANIC的错误，包括数据竞争、路由、监控和集群请求处理。 9. MQTT相关漏洞：修复了MQTT协议中的多个问题，如 数据包耗尽预认证内存、 剩余长度下溢导致服务器PANIC、订阅到内部 主题被拒绝、订阅拒绝规则在保留消息和QoS回复路径上的强制执行、 升级在MQTT禁用时不再PANIC。 10. JetStream相关漏洞：修复了JetStream中的多个问题，包括集群元数据节点的数据竞争、元数据提案跟踪、流捕获跳过、TTL和调度状态拒绝、消费者限制处理、Raft节点投票和候选资格、Raft检查点处理、Raft ApplyCommit、消费者ACK订阅匹配、观察者状态清理、原子批量最大大小检查和R1消息重写、计划漂移、对等节点解码、计数器流阶段、文件存储压缩、内存存储 、消费者不活动删除、 、元数据恢复快照、跳过消息时间、Raft不提交成员资格更改。 影响范围 这些漏洞和问题可能影响使用NATS Server v2.14.3及之前版本的用户，特别是在以下场景中： 使用JWT认证和授权的用户。 使用PROXY协议的用户。 使用网关连接的用户。 使用服务导入和导出的用户。 使用MQTT协议的用户。 使用JetStream的用户。 修复方案 升级到NATS Server v2.14.3版本可以修复上述所有漏洞和问题。具体修复措施包括： 1. JWT默认权限刷新：确保在账户声明更新时刷新JWT默认权限。 2. 外部认证配置清理：确保在账户声明更新时正确清理外部认证配置。 3. PROXY协议检测：修复 和PROXY v1地址族解析。 4. 网关CONNECT处理：修复网关CONNECT处理中的竞争条件。 5. 代理跟踪：修复代理跟踪中并发更新导致的关闭客户端泄漏。 6. 服务导入回复：修复跨路由传递服务导入回复。 7. 消息跟踪：修复服务导入和导出中的消息跟踪。 8. PANIC错误：修复多个可能导致PANIC的错误。 9. MQTT相关漏洞：修复MQTT协议中的多个问题。 10. JetStream相关漏洞：修复JetStream中的多个问题。 POC代码或利用代码 页面中未提供具体的POC代码或利用代码。 总结 NATS Server v2.14.3版本修复了多个与安全相关的漏洞和问题，建议所有用户尽快升级到该版本以确保系统的安全性。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

NATS Server v2.14.3 多漏洞修复公告(MQTT/JWT/JetStream/DoS)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

NATS Server v2.14.3 多漏洞修复公告(MQTT/JWT/JetStream/DoS)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！