CVE-2026-115417 – aws-c-mqtt の MQTT 3.1.1 互換性アダプターにおける過度なサイズの値によるメモリ割り当て
速報 ID: 2026-147-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 22 日午後 1 時 30 分 (太平洋夏時間)
説明:
aws-c-mqtt は、MQTT 3.1.1 および MQTT5 仕様の C99 実装であり、AWS Common Runtime (CRT) の一部として配布され、AWS IoT Device SDK for C++ v2 にバンドルされています。AWS は、ライブラリの MQTT 3.1.1 互換性アダプターにおける過度なサイズの値によるメモリ割り当て (CWE-789) である CVE-2026-115417 を特定しました。特定の条件下では、リモートの攻撃者がクライアントプロセスのサービス拒否を引き起こす可能性があります。
影響を受けるバージョン: >= 0.9.1 および < 0.16.2
解決方法:
この問題は、aws-c-mqtt バージョン v0.16.2 で対処されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。
回避策:
信頼できる MQTT ブローカー (ネゴシエーションされた最大パケットサイズを強制する AWS IoT Core など) のみに接続し、ブローカー応答の中間者による改ざんを防止するために TLS を使用してください。可能な限り、MQTT 3.1.1 互換アダプターの使用を避け、ネイティブの MQTT5 または MQTT 3.1.1 クライアントを使用してください。修正済みバージョンへのアップグレードが、完全な修正対応となります。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Eunho Kim 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。