tinyMQTTのコミット6226ade15bd4f97be2d196352e64dd10937c1962（2024年2月18日）において、ブローカーがトピックフィルタ内の不正なUTF-8文字列を検証または拒否しないため、メモリリークが発生します。攻撃者は任意の大きさまたは無効なフィルタペイロードを含む繰り返しの購読リクエストを送信することでこれを悪用できます。各リクエストは不正なトピックフィルタ用のメモリを割り当てますが、ブローカーは関連メモリを解放しないため、ヒープの使用量が無制限に増加し、持続的な攻撃下でサービス拒否を引き起こします。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。