AWS aws-c-mqtt: Denial of Service durch übermässige Speicherallokation im MQTT-3.1.1-Adapter
Zusammenfassung
Der MQTT-3.1.1-Kompatibilitätsadapter in der C-Bibliothek aws-c-mqtt, die Teil der AWS Common Runtime und des AWS IoT Device SDK for C++ v2 ist, reserviert Speicher mit einem übermässig grossen Grössenwert. Ein entfernter Angreifer kann dadurch möglicherweise Ressourcen erschöpfen und die Client-Anwendung zum Absturz bringen, was einen Denial of Service auslöst. Laut AWS sind dafür bestimmte Bedingungen nötig; die realistische Bedrohung ist ein bösartiger oder kompromittierter Broker oder ein Angreifer auf dem Übertragungsweg, der Broker-Antworten manipulieren kann.
Betroffen
- AWS aws-c-mqtt Versionen 0.9.1 bis vor 0.16.2
- Produkte, Firmware und SDKs, die eine betroffene Version von aws-c-mqtt enthalten, etwa das AWS IoT Device SDK for C++ v2 und Builds der AWS Common Runtime
Behoben in
- aws-c-mqtt 0.16.2 (AWS- und GitHub-Release v0.16.2)
- Herstellerbuilds der AWS Common Runtime oder des AWS IoT Device SDK, die aws-c-mqtt 0.16.2 oder neuer enthalten
- Geforkter oder abgeleiteter Code muss separat gepatcht werden
Umgehung
- Nur Verbindungen zu vertrauenswürdigen MQTT-Brokern herstellen, zum Beispiel AWS IoT Core, der die ausgehandelte maximale Paketgrösse durchsetzt
- TLS verwenden, um Manipulationen von Broker-Antworten auf dem Übertragungsweg zu verhindern
- Wo möglich, den MQTT-3.1.1-Kompatibilitätsadapter meiden und einen nativen MQTT5- oder MQTT-3.1.1-Client verwenden
- Dies sind Empfehlungen des Herstellers; das Aktualisieren auf eine fixe Version ist die vollständige Behebung
Ausnutzung
- Öffentlicher Proof-of-Concept-Exploit: keiner gefunden
- Bekannte Ausnutzung in freier Wildbahn: keine Hinweise gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- CVSS 4.0 Basiswert 8.2 (hoch), Angriffsvoraussetzungen vorhanden
Unsere Empfehlung
- Systeme, Firmware und Softwarepakete auf aws-c-mqtt und das AWS IoT Device SDK for C++ prüfen, zum Beispiel über SBOMs oder Paketlisten
- Auf aws-c-mqtt 0.16.2 oder neuer aktualisieren oder einen Herstellerbuild mit der Korrektur beziehen; wo Sie selbst nicht patchen können, beim Gerätehersteller ein Firmware-Update anfragen
- Bis zur Behebung MQTT-Clients auf bekannte Broker beschränken und TLS erzwingen
- Herstellerhinweise auf Updates überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-147-AWS aws.amazon.com
- aws-c-mqtt release v0.16.2 github.com
- GitHub Security Advisory GHSA-g3x5-86mr-65p5 github.com
- VulDB entry 425463 vuldb.com
- Tenable CVE-2026-115417 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.