آسیب‌پذیری CVE-2026-115417 در کتابخانه aws-c-mqtt شناسایی شده است. این کتابخانه یک پیاده‌سازی C99 از مشخصات MQTT 3.1.1 و MQTT5 است که به عنوان بخشی از AWS Common Runtime (CRT) توزیع شده و در AWS IoT Device SDK برای C++ v2 گنجانده شده است.
این نقص امنیتی مربوط به تخصیص حافظه با مقدار بیش از حد (CWE-789) در بخش MQTT 3.1.1 compatibility adapter است. تحت شرایط خاص، یک عامل از راه دور (remote actor) می‌تواند باعث ایجاد وضعیت Denial of Service (DoS) در فرآیند کلاینت شود.
راهکارهای مقابله و رفع مشکل
- ارتقای نسخه: این مشکل در نسخه v0.16.2 از aws-c-mqtt برطرف شده است. توصیه می‌شود بلافاصله به آخرین نسخه ارتقا یافته و اطمینان حاصل کنید که هرگونه کد مشتق شده یا Fork شده نیز با اصلاحات جدید به‌روزرسانی شده باشد.
- استفاده از پروتکل امن: تنها به Brokerهای MQTT مورد اعتماد (مانند AWS IoT Core که حداکثر اندازه بسته را کنترل می‌کند) متصل شوید و از TLS برای جلوگیری از دستکاری پاسخ‌های Broker در مسیر (on-path tampering) استفاده کنید.
- جلوگیری از استفاده از Adapter: در صورت امکان، از MQTT 3.1.1 compatibility adapter استفاده نکنید و به جای آن از کلاینت‌های بومی (native) MQTT5 یا MQTT 3.1.1 بهره ببرید.
