AWS、MQTTライブラリの停止につながる欠陥を修正、対象版の確認を

AWSは2026年10月22日(米国太平洋夏時間)、通信ライブラリ「aws-c-mqtt」の脆弱性を公表しました。対象は0.9.1以上、0.16.2未満で、特定の条件下では遠隔の攻撃者がクライアントプロセスをサービス拒否に陥らせる可能性があります。v0.16.2で修正済みで、AWSは最新版への更新を推奨しています。

SDKに同梱されたライブラリも確認対象

aws-c-mqttは、メッセージをやり取りする通信方式のMQTT 3.1.1とMQTT5を実装したC99ライブラリです。AWS Common Runtime(CRT)の一部として配布されるほか、AWS IoT Device SDK for C++ v2にも同梱されています。

今回の識別番号は「CVE-2026-115417」です。MQTT 3.1.1互換アダプターに、過大なサイズでメモリを割り当てる欠陥があります。AWSは、特定条件下でクライアントプロセスが正常にサービスを提供できなくなる可能性を説明しています。

確認すべきなのは、AWSとの契約の有無ではなく、対象ライブラリを製品やアプリに組み込んでいるか、その版が何かです。SDKを利用している場合も、SDKの名前だけで判断せず、同梱されたaws-c-mqttの版まで確認する必要があります。AWSは、元のコードから分岐させたフォークや派生コードにも修正を反映するよう求めています。

日本での提供は発表には書かれていません。影響対象は地域別ではなく、ライブラリの版として示されています。

接続先の限定だけでは完全な対処にならない

AWSは回避策として、信頼できるMQTTブローカーだけに接続するよう案内しています。ブローカーは、MQTTのメッセージを仲介する接続先です。また、ブローカーからの応答が通信経路上で改ざんされないよう、通信を保護するTLSの使用を推奨しています。

可能であれば、互換アダプターを避け、ネイティブのMQTT5またはMQTT 3.1.1を使うことも推奨しています。ただし、AWSは完全な対処には修正版への更新が必要としています。接続先や通信設定の点検と、ライブラリの更新は分けて管理してください。

影響する会社・しない会社

• 影響する: aws-c-mqttの0.9.1以上、0.16.2未満を利用している会社です。実際にサービス拒否が起きる条件の詳細は、今回の資料には書かれていません。
• 影響する: AWS Common RuntimeやAWS IoT Device SDK for C++ v2を通じて対象版を組み込んでいる会社、対象コードのフォークや派生コードを保守する会社です。
• 影響しない: 利用しているaws-c-mqttが修正済みのv0.16.2であると確認できた環境は、今回の対象範囲に含まれません。
• 影響しない: SDKへの同梱や派生コードを含め、aws-c-mqttを利用していないことを確認できた会社は、今回のライブラリの確認対象から外せます。

情シスが今日やること

1. まず、開発担当と機器・アプリの保守委託先へ、aws-c-mqttの利用有無と版の回答を依頼します。AWS Common Runtime、AWS IoT Device SDK for C++ v2への同梱分も調査対象に指定します。
2. 開発担当に、ソースコードのリポジトリにある依存関係の定義や、組み込んだライブラリの版情報を確認してもらいます。製品名、aws-c-mqttの版、互換アダプターの利用有無、保守担当を一覧に残します。特定の管理画面で確認する方法は、発表には書かれていません。
3. 対象版が見つかったら、保守担当と最新版への更新日、動作確認日、反映日を決めます。フォークや派生コードは修正の取り込み状況も確認します。AWSが指定する更新期限は資料にはないため、社内の対応期限を別途設定してください。
4. 更新までの間に、アプリのMQTT接続設定で接続先ブローカーとTLSの使用状況を確認します。開発担当にはネイティブ実装への切り替え可否も確認し、運用責任者には「回避策だけでは対応完了にしない」と共有します。