CVE-2026-115417 - aws-c-mqtt 中的 MQTT 3.1.1 兼容性适配器存在大小值过大的内存分配
公告 ID： 2026-147-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 22 日下午 1:30（太平洋夏令时）
描述：
aws-c-mqtt 是 MQTT 3.1.1 和 MQTT 5 规范的 C99 实施，作为 AWS 通用运行时（CRT）的一部分进行分发，并包含在适用于 C++ 的 AWS IoT 设备开发工具包 v2 中。我们发现了 CVE-2026-115417，即该库的 MQTT 3.1.1 兼容性适配器中存在大小值过大（CWE-789）的内存分配。在特定条件下，远程攻击者可能导致客户端进程阻断服务。
受影响的版本： >= 0.9.1 且 < 0.16.2
解决方案：
此问题已在 aws-c-mqtt 版本 v0.16.2 中得到解决。建议升级到最新版本，并确保对所有分叉代码或衍生代码进行修补，以纳入新的修复程序。
临时措施：
仅连接至受信任的 MQTT 代理（例如 AWS IoT Core，它会强制执行协商后的最大数据包大小限制），并使用 TLS 防止代理响应在传输过程中被篡改。在条件允许的情况下，避免使用 MQTT 3.1.1 兼容性适配器，改用原生的 MQTT 5 或 MQTT 3.1.1 客户端。彻底的补救措施是升级至已修复的版本。
参考：
致谢：
感谢 Eunho Kim 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。