CVE-2026-115417 – Allocation de mémoire avec une valeur de taille excessive dans l’adaptateur de compatibilité MQTT 3.1.1 dans aws-c-mqtt
ID du bulletin : 2026-147-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 22/10/2026 13 h 30 PDT (heure du Pacifique)
Description :
aws-c-mqtt est une implémentation C99 des spécifications MQTT 3.1.1 et MQTT5, distribuée dans le cadre de l’AWS Common Runtime (CRT) et intégrée dans le SDK AWS IoT Device pour C++ v2. Nous avons identifié CVE-2026-115417, une allocation de mémoire avec une valeur de taille excessive (CWE-789) dans l’adaptateur de compatibilité MQTT 3.1.1 de la bibliothèque. Dans certaines conditions, un acteur distant peut provoquer un déni de service du processus client.
Versions concernées : >= 0.9.1 ET < 0.16.2
Résolution :
Ce problème a été résolu dans la version v0.16.2 d’aws-c-mqtt. Nous vous recommandons de passer à la dernière version et d'appliquer les nouveaux correctifs à tout code issu d’un fork ou dérivé.
Solutions de contournement :
Connectez-vous uniquement à des courtiers MQTT de confiance (par exemple AWS IoT Core, qui applique la taille de paquet maximale négociée) et utilisez le protocole TLS pour empêcher toute manipulation des réponses des courtiers en cours de route. Dans la mesure du possible, évitez l’adaptateur de compatibilité MQTT 3.1.1 au profit d’un client MQTT5 ou MQTT 3.1.1 natif. La mise à niveau vers une version corrigée est la mesure corrective complète.
Références :
Remerciements :
Nous tenons à remercier Eunho Kim pour sa collaboration sur cette vulnérabilité dans le cadre du processus coordonné de divulgation des vulnérabilités.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.