CVE-2026-115417: alocação de memória com valor de tamanho excessivo no adaptador de compatibilidade MQTT 3.1.1 em aws-c-mqtt
ID do boletim: 2026-147-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 22/10/2026 13h30 PDT
Descrição:
aws-c-mqtt é uma implementação C99 das especificações MQTT 3.1.1 e MQTT5, distribuída como parte do AWS Common Runtime (CRT) e incluída no AWS IoT Device SDK para C++ v2. Identificamos o CVE-2026-115417, uma alocação de memória com valor de tamanho excessivo (CWE-789) no adaptador de compatibilidade MQTT 3.1.1 da biblioteca. Sob certas condições, um agente remoto pode causar uma negação de serviço do processo do cliente.
Versões afetadas: >= 0.9.1 E < 0.16.2
Resolução:
Esse problema foi resolvido na versão v0.16.2 do aws-c-mqtt. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Conecte-se somente a agentes MQTT confiáveis (por exemplo, o AWS IoT Core, que impõe o tamanho máximo de pacote negociado) e use o TLS para evitar a adulteração das respostas do agente no caminho. Quando possível, evite o adaptador de compatibilidade MQTT 3.1.1 em favor de um cliente MQTT5 ou MQTT 3.1.1 nativo. A atualização para uma versão corrigida é a correção completa.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Eunho Kim por colaborar nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.