CVE-2026-115417 - Allocazione di memoria con un valore di dimensioni eccessivo nell’adattatore di compatibilità MQTT 3.1.1 in aws-c-mqtt
ID Bollettino: 2026-147-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 22/10/2026 13:30 PDT
Descrizione:
aws-c-mqtt è un’implementazione C99 delle specifiche MQTT 3.1.1 e MQTT5, distribuita come parte di AWS Common Runtime (CRT) e inclusa nell’AWS IoT Device SDK per C++ v2. Abbiamo identificato CVE-2026-115417, un’allocazione di memoria con un valore di dimensioni eccessivo (CWE-789) nell’adattatore di compatibilità MQTT 3.1.1 della libreria. In determinate condizioni, un attore remoto avrebbe potuto causare un denial of service del processo client.
Versioni interessate: >= 0.9.1 E < 0.16.2
Risoluzione:
Questo problema è stato risolto nella versione v0.16.2 di aws-c-mqtt. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
Connettersi solo a broker MQTT affidabili (ad esempio AWS IoT Core, che impone le dimensioni massime negoziate dei pacchetti) e utilizzare TLS per prevenire la manomissione delle risposte dei broker durante il percorso. Ove possibile, evitare l’adattatore di compatibilità MQTT 3.1.1 e utilizzare invece un client MQTT5 o MQTT 3.1.1 nativo. L’aggiornamento a una versione corretta è la soluzione completa.
Riferimenti:
Ringraziamenti:
Ringraziamo Eunho Kim per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.