Überspringen zum Hauptinhalt

CVE-2026-102551 und CVE-2026-102552 – Problem mit FreeRTOS-Plus-TCP

Bulletin-ID: 2026-139-AWS
Bereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 16.10.2026 10:15 Uhr PDT

Beschreibung:

FreeRTOS-Plus-TCP ist ein threadsicherer Open-Source-TCP/IP-Stack für den FreeRTOS-Kernel, der von Amazon für den Einsatz auf Embedded- und IoT-Geräten vertrieben wird. AWS identifizierte zwei Probleme mit FreeRTOS-Plus-TCP, die mehrere Versionen betreffen.

CVE-2026-102551: Fehlerhafte Verifizierung der Quelle eines Kommunikationskanals im IPv6 Router Advertisement Handler. Der Handler überprüft nicht vollständig, ob eine empfangene Router-Advertisement von einer On-Link-Quelle stammt, bevor er darauf reagiert. Unter bestimmten Bedingungen kann ein entfernter Dritter die IPv6-Gateway-, Präfix- und Adresskonfiguration eines Endpunkts beeinflussen und möglicherweise das Abfangen des IPv6-Datenverkehrs des Geräts ermöglichen. Dieses Problem tritt in der Standardkonfiguration der Bibliothek auf, in der sowohl ipconfigUSE_IPv6 als auch ipconfigUSE_RA aktiviert sind.

CVE-2026-102552: Fehlerhafte Verifizierung der Quelle eines Kommunikationskanals im DNS-Resolver. Der Resolver überprüft nicht vollständig, ob eine DNS-Antwort von dem Server stammt, der abgefragt wurde, bevor er sie akzeptiert. Unter bestimmten Bedingungen fügt ein entfernter Dritter möglicherweise eine gewählte Adresse in den DNS-Cache des Geräts ein und leitet so möglicherweise die nachfolgenden Verbindungen des Geräts für den betroffenen Namen um.

Betroffene Versionen:

  • CVE-2026-102551 (Router-Advertisement): <= V4.4.1
  • CVE-2026-102552 (DNS-Resolver): <= V4.4.1

Lösung:

Dieses Problem wurde in der FreeRTOS-Plus-TCP-Version V4.4.2 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder abgeleiteter Code gepatcht wird, damit die neuen Korrekturen enthalten sind.

Für das DNS-Resolver-Problem wird die Quell-IP-Validierung des Responders als Opt-In-Option bereitgestellt und ist standardmäßig deaktiviert. Ein Upgrade allein behebt das Problem nicht. Um das Problem zu beheben, führen Sie ein Upgrade auf V4.4.2 durch und aktivieren Sie ipconfigDNS_CHECK_REPLY_SOURCE_IP in FreeRTOSIPConfig.h.

Problemumgehungen:

  • CVE-2026-102551 (Router-Advertisement): Wenn ein Upgrade nicht sofort möglich ist, deaktivieren Sie die IPv6-Router-Advertisement-Verarbeitung, indem Sie  ipconfigUSE_RA auf ipconfigDISABLE setzen (oder deaktivieren Sie IPv6 vollständig mit ipconfigUSE_IPv6 = ipconfigDISABLE) in FreeRTOSIPConfig.h , wenn das Gerät keine IPv6-RA-basierte Autokonfiguration benötigt. Auf der Netzwerkseite mildert der Einsatz von RA Guard und/oder SEND auf der lokalen Verbindung den On-Link-Vektor ab, adressiert jedoch nicht den Off-Link-Vektor, der während der Lease-Erneuerungsfenster erreichbar ist.
  • CVE-2026-102552 (DNS-Resolver): Für die betroffenen Versionen gibt es keine Problemumgehung, die nur durch die Konfiguration möglich ist, da die Quell-IP-Validierung des Responders vor V4.4.2 nicht existiert. Wenn das Gerät auf einen vertrauenswürdigen lokalen Resolver beschränkt und der lokale Netzwerkpfad geschützt wird, wird der unbeabsichtigte Zugriff auf gefälschte Off-Path-Antworten reduziert, das Problem wird jedoch nicht behoben.

Referenzen:

Danksagung:

Wir möchten Cipher / Causal Security für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.


Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .