CVE-2026-77060 Mosquitto MQTT パスワードファイルアクセス権設定脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
boneIO black_debian_imagesのMosquitto MQTTブローカーで、/etc/mosquitto/passwdというパスワードファイルがすべてのユーザーに読み取り可能に設定されている問題が報告されています。これにより、ローカルユーザーがMQTTアカウントのパスワードハッシュを取得し、オフラインで辞書攻撃を試行できる可能性があります。この脆弱性は1.6.0以降のバージョンで修正済みですが、現行のシステムで同様の設定が適用されている場合、セキュリティリスクが残るため、パスワードファイルのアクセス権確認や適切なパッチ適用の検討が必要です。確認時はファイルパーミッションの状態を確認し、不要な読取りアクセスを削除するなどの対応を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えよう。パスワードファイルがすべてのユーザーに読み取り可能だと、ローカルユーザーがハッシュを取得して辞書攻撃を試行できるという。これはセキュリティ上の大きな問題ではないか？
確かに、ソクラテス。しかし、この問題は修正済みのバージョンが存在するという点に注意すべきです。まずは、現行のシステムで使用しているMosquittoのバージョンを確認し、1.6.0以降かを確認する必要があります。
では、もし1.6.0未満のバージョンを使っている場合、何をすればよいだろう？
まず、/etc/mosquitto/passwdのファイルパーミッションを確認してください。600に設定されているか、それとも世界読み取り可能になっていないか。もし問題があれば、chmod 600 /etc/mosquitto/passwdで修正できます。
その対応は重要だが、運用者としての責任はどこにある？
定期的なアクセス権の確認や、パッチ適用の検討は不可欠です。また、変更管理の文書化と監視の設定を忘れずに。ベンダーの公式サイトで最新情報や修正履歴を確認することも、運用者としての義務です。
しかし、この脆弱性が発見されたのは2026年、少し時間が経っている。過去の対応が見落とされていないか？
その通りです。過去のパッチ適用履歴を確認し、影響範囲を調査する必要があります。また、今後は自動更新やセキュリティ監視ツールの導入も検討する価値があります。
では、この脆弱性に気づかなかった運用者は、どうすればいい？
まずは慌てず、現状の設定を確認し、必要な対応を実施しましょう。セキュリティは「後から」ではなく、「今」から始まるものです。ただし、過剰なパニックは禁物です。
なるほど。では、この会話の要点は？
パスワードファイルのアクセス権を確認し、パッチ適用を検討する。そして、常にベンダー情報と変更管理を意識する。それが、Linux運用者の日常です。
関連キーワード: debian