CVE-2026-115417: Asignación de memoria con un valor de tamaño excesivo en el adaptador de compatibilidad MQTT 3.1.1 en aws-c-mqtt
ID del boletín: 2026-147-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 22/10/2026 13:30 h PDT
Descripción:
aws-c-mqtt es una implementación en C99 de las especificaciones MQTT 3.1.1 y MQTT5, que se distribuye como parte del AWS Common Runtime (CRT) y se incluye en el AWS IoT Device SDK para C++ v2. Identificamos la vulnerabilidad CVE-2026-115417, una asignación de memoria con un valor de tamaño excesivo (CWE-789) en el adaptador de compatibilidad MQTT 3.1.1 de la biblioteca. En determinadas condiciones, un actor remoto podría provocar una denegación de servicio del proceso del cliente.
Versiones afectadas: >= 0.9.1 Y < 0.16.2
Resolución:
Este problema se solucionó en la versión v0.16.2 de aws-c-mqtt. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
Conéctese únicamente a agentes de MQTT de confianza (por ejemplo, AWS IoT Core, que impone el tamaño máximo de paquete negociado) y utilice TLS para evitar la manipulación en tránsito de las respuestas de los agentes. Siempre que sea posible, evite el adaptador de compatibilidad MQTT 3.1.1 y opte por un cliente MQTT5 o MQTT 3.1.1 nativo. La remediación completa es actualizar a una versión corregida.
Referencias:
Reconocimiento:
Agradecemos a Eunho Kim por colaborar en este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.