CVE-2026-44639 — NanoMQ — Behoben in 0.24.14

NanoMQ ist ein MQTT-Broker. Vor Version 0.24.14 durchläuft der MQTT-v5-Property-Decoder von NanoMQ in nng/src/supplemental/mqtt/mqtt_codec.c mit property_append() für jede von decode_buf_properties() hinzugefügte Property die gesamte verkettete Liste. Ein nicht authentifizierter Remote-Client kann ein PUBLISH- oder SUBSCRIBE-Paket mit vielen User Properties senden und dadurch O(N²)-Aufwand beim Einfügen in die verkettete Liste und CPU-Arbeit verursachen, sodass der Broker nicht mehr reagiert; wiederholte Pakete können den Denial-of-Service aufrechterhalten. Dieses Problem wurde in Version 0.24.14 behoben.