安全公告：CVE-2026-103653：CoAP消息解析中的越界读取漏洞影响Qt CoAP
内容提要
Qt CoAP模块存在越界读取漏洞（CVE-2026-103653），影响Qt 5.13.0至6.8.8及6.9.0至6.11.2版本。处理畸形CoAP消息可导致应用崩溃或使用错误数据，CVSS 4.0评分为6.7。目前无临时缓解措施，建议仅接受可信对等方流量，并升级至Qt 6.8.9 LTS、6.11.3、6.12.0或更高版本，或应用官方补丁。
延伸解读
漏洞影响范围与版本确认
该漏洞影响Qt 5.13.0至6.8.8以及6.9.0至6.11.2版本。使用Qt CoAP模块的应用程序需检查自身依赖的Qt版本是否在此范围内。由于漏洞存在于消息解析函数QCoapInternalReply::createFromFrame()中，任何处理CoAP消息的应用都可能受影响，尤其是作为CoAP服务器或客户端接收外部消息的场景。
风险等级与潜在后果
CVSS 4.0评分为6.7（中危），攻击向量为网络（AV:N），无需认证或用户交互。成功利用可导致应用崩溃（可用性高影响）或继续使用错误数据（完整性低影响）。虽然机密性未受影响，但崩溃可能造成服务中断，错误数据可能引发后续逻辑错误，需引起重视。
缓解与修复建议
官方未提供临时缓解措施，建议仅接受可信对等方的CoAP流量，例如通过网络过滤限制来源。根本解决方法是升级至Qt 6.8.9 LTS、6.11.3、6.12.0或更高版本，或应用官方补丁。补丁链接已提供，涉及dev、6.11和6.8 LTS分支，用户可根据使用的版本选择对应补丁。
Q&A
CVE-2026-103653 是什么漏洞？
CVE-2026-103653 是 Qt CoAP 模块中的一个越界读取漏洞，存在于 QCoapInternalReply::createFromFrame() 函数中。处理畸形的 CoAP 消息可能导致应用程序崩溃或使用错误数据。
哪些 Qt 版本受 CVE-2026-103653 影响？
受影响版本包括 Qt 5.13.0 至 6.8.8，以及 Qt 6.9.0 至 6.11.2。
CVE-2026-103653 的 CVSS 评分是多少？
CVSS 4.0 评分为 6.7，属于中危漏洞。
如何修复或缓解 CVE-2026-103653 漏洞？
目前没有临时缓解措施。建议升级至 Qt 6.8.9 LTS、6.11.3、6.12.0 或更高版本，或应用官方补丁。在更新前，可通过网络过滤仅接受可信对等方的 CoAP 流量以降低风险。
CVE-2026-103653 漏洞会导致什么后果？
处理畸形 CoAP 消息可能导致使用 Qt CoAP 的应用程序崩溃（可用性丧失）或继续使用错误数据运行（潜在完整性丧失）。
在哪里可以下载 CVE-2026-103653 的官方补丁？
补丁链接因版本而异：dev 分支见 codereview.qt-project.org 的 760652 和 761120；Qt 6.11 见 764363 和 764364 或 download.qt.io 的 diff 文件；Qt 6.8 LTS 见 764366 和 764367 或 download.qt.io 的 diff 文件。
