CVE-2026-115417 – aws-c-mqtt 中 MQTT 3.1.1 相容性轉接器的記憶體配置大小值過大
公告 ID： 2026-147-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 22 日下午 1:30 (太平洋夏令時間)
描述：
aws-c-mqtt 是 MQTT 3.1.1 與 MQTT5 規格的 C99 實作，作為 AWS Common Runtime (CRT) 的一部分提供，並隨附於 AWS IoT Device SDK for C++ v2。我們發現 CVE-2026-115417，這是該程式庫的 MQTT 3.1.1 相容性轉接器中記憶體配置大小值過大 (CWE-789) 的問題。在某些條件下，遠端執行者可能造成用戶端程序發生阻斷服務。
受影響的版本： >= 0.9.1 且 < 0.16.2
解決方案：
此問題已在 aws-c-mqtt 版本 v0.16.2 中得以解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。
變通方法：
僅連線至受信任的 MQTT 代理程式 (例如 AWS IoT Core，其會強制執行協商後的最大封包大小)，並使用 TLS 防止代理程式回應在傳輸路徑上遭竄改。在可行情況下，請避免使用 MQTT 3.1.1 相容性轉接器，改用原生 MQTT5 或 MQTT 3.1.1 用戶端。升級至已修正版本即為完整的修復方式。
參考資料：
致謝：
我們誠摯感謝 Eunho Kim 透過協調的漏洞揭露程序，與我們協作解決此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。