CVE-2026-102551 和 CVE-2026-102552 — FreeRTOS-Plus-TCP 的问题
公告 ID： 2026-139-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 16 日上午 10:15（太平洋夏令时）
描述：
FreeRTOS-Plus-TCP 是一款开源且线程安全的 TCP/IP 协议堆栈，适用于 FreeRTOS 内核，由亚马逊分发，供嵌入式设备和物联网（IoT）设备使用。亚马逊云科技在 FreeRTOS-Plus-TCP 中发现了两个问题，影响多个版本。
CVE-2026-102551：IPv6 路由器通告处理程序中存在通信通道来源验证不当的问题。该处理程序在处理接收到的路由器通告之前，未能充分验证其是否确实来自链路内的源。在特定条件下，远程第三方可能会影响终端设备的 IPv6 网关、前缀及地址配置，从而可能导致设备上的 IPv6 流量被拦截。在库的默认配置下（即同时启用 ipconfigUSE_IPv6 和 ipconfigUSE_RA），此问题可被触发。
CVE-2026-102552：DNS 解析器中存在通信通道来源验证不当的问题。DNS 解析器在接受 DNS 响应之前，未能充分验证该响应是否确实来自所查询的服务器。在特定条件下，远程第三方可能会将指定的地址插入到设备的 DNS 缓存中，可能导致设备后续针对受影响域名的连接被重定向。
受影响的版本：
- CVE-2026-102551（路由器通告）：<= V4.4.1
- CVE-2026-102552（DNS 解析器）：<= V4.4.1
解决方案：
此问题已在 FreeRTOS-Plus-TCP V4.4.2 版本中得到解决。建议您升级到最新版本，并确保对所有分叉代码或派生代码进行修补，以纳入新的修复程序。
对于 DNS 解析器问题，系统提供“响应方源 IP 验证”作为可选选项（默认处于禁用状态）；仅进行升级无法修复该问题。若要修复此问题，请升级至 V4.4.2，并在 FreeRTOSIPConfig.h 中启用 ipconfigDNS_CHECK_REPLY_SOURCE_IP。
临时措施：
- CVE-2026-102551（路由器通告）：如果无法立即升级，且设备无需依赖基于 IPv6 RA 的自动配置，可在 FreeRTOSIPConfig.h 中将 ipconfigUSE_RA 设置为 ipconfigDISABLE （或通过设置 ipconfigUSE_IPv6 = ipconfigDISABLE 完全禁用 IPv6），从而禁用 IPv6 路由器通告处理功能。在网络方面，通过在本地链路上部署 RA Guard 和/或 SEND 机制，可以缓解来自本地链路的攻击威胁，但无法解决在租约续期窗口期间可能发生的、来自链路外部的攻击威胁。
- CVE-2026-102552（DNS 解析器）：在受影响的版本中，无法仅通过配置来缓解此问题，因为 V4.4.2 之前的版本不具备响应方源 IP 验证功能。在条件允许的情况下，将设备限制为仅使用可信的本地 DNS 解析器，并加强对本地网络路径的保护，可在一定程度上降低遭受路径外回复伪造攻击的风险，但无法消除该问题。
参考：
致谢：
感谢 Cipher / Causal Security 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。