CVE-2026-115417 - aws-c-mqtt의 MQTT 3.1.1 호환성 어댑터에서 과도한 크기 값으로 인한 메모리 할당
공지 ID: 2026-147-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/22/2026 13:30 PM PDT
설명:
aws-c-mqtt는 MQTT 3.1.1 및 MQTT5 사양의 C99 구현으로, AWS Common Runtime(CRT)의 일부로 배포되고 C++ v2용 AWS IoT Device SDK에 번들로 제공됩니다. 라이브러리의 MQTT 3.1.1 호환성 어댑터에서 크기 값이 과도하게 큰 메모리 할당 문제(CWE-789)인 CVE-2026-115417을 식별했습니다. 특정 조건에서 원격 행위자가 클라이언트 프로세스의 서비스 거부를 초래할 수 있습니다.
영향을 받는 버전: 0.9.1 이상 및 0.16.2 미만
해결 방법:
이 문제는 aws-c-mqtt 버전 v0.16.2에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
임시 해결 방법:
신뢰할 수 있는 MQTT 브로커(예: 협상된 최대 패킷 크기를 적용하는 AWS IoT Core)에만 연결하고, TLS를 사용하여 통신 경로상에서 브로커 응답이 변조되는 것을 방지합니다. 가능한 경우 MQTT 3.1.1 호환성 어댑터 대신 네이티브 MQTT5 또는 MQTT 3.1.1 클라이언트를 사용하세요. 수정된 버전으로 업그레이드하는 것이 완전한 해결 방법입니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Eunho Kim님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.