CVE-2026-102551 e CVE-2026-102552 - Problema con FreeRTOS-Plus-TCP
ID Bollettino: 2026-139-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 16/10/2026 10:15 PDT
Descrizione:
FreeRTOS-Plus-TCP è uno stack TCP/IP open source e thread-safe per il kernel FreeRTOS, distribuito da Amazon per l’uso su dispositivi embedded e IoT. AWS ha identificato due problemi con FreeRTOS-Plus-TCP, che interessano più versioni.
CVE-2026-102551: verifica non corretta dell’origine di un canale di comunicazione nel gestore dei Router Advertisement IPv6. Il gestore non verifica completamente che un Router Advertisement ricevuto provenga da una fonte on-link prima di elaborarlo. In determinate condizioni, una terza parte remota potrebbe influenzare la configurazione del gateway, del prefisso e dell’indirizzo IPv6 di un endpoint, consentendo potenzialmente l’intercettazione del traffico IPv6 del dispositivo. Questo problema si verifica con la configurazione predefinita della libreria, in cui ipconfigUSE_IPv6 e ipconfigUSE_RA sono entrambi abilitati.
CVE-2026-102552: verifica non corretta dell’origine di un canale di comunicazione nel resolver DNS. Il resolver non verifica completamente che una risposta DNS provenga dal server interrogato prima di accettarla. In determinate condizioni, una terza parte remota potrebbe inserire un indirizzo scelto nella cache DNS del dispositivo, reindirizzando potenzialmente le connessioni successive del dispositivo per il nome interessato.
Versioni interessate:
- CVE-2026-102551 (Router Advertisement): <= V4.4.1
- CVE-2026-102552 (resolver DNS): <= V4.4.1
Risoluzione:
Questo problema è stato risolto nella versione V4.4.2 di FreeRTOS-Plus-TCP. Consigliamo di eseguire l’aggiornamento alla versione più recente e di applicare le patch a qualsiasi codice derivato o di cui è stato eseguito il fork, in modo da integrare le nuove correzioni.
Per il problema del resolver DNS, la convalida dell’IP di origine del risponditore è disponibile come opzione facoltativa ed è disabilitata per impostazione predefinita; il solo aggiornamento non risolve il problema. Per risolvere il problema, eseguire l’aggiornamento alla versione V4.4.2 e abilitare ipconfigDNS_CHECK_REPLY_SOURCE_IP in FreeRTOSIPConfig.h.
Soluzioni alternative:
- CVE-2026-102551 (Router Advertisement): Se non è possibile eseguire immediatamente l’aggiornamento, disabilitare l’elaborazione dei Router Advertisement IPv6 impostando ipconfigUSE_RA su ipconfigDISABLE (o disabilitare completamente IPv6 con ipconfigUSE_IPv6 = ipconfigDISABLE) in FreeRTOSIPConfig.h se il dispositivo non richiede l’autoconfigurazione IPv6 basata su RA. A livello di rete, l’implementazione di RA Guard e/o SEND sul collegamento locale mitiga il vettore on-link, ma non risolve il vettore off-link sfruttabile durante le finestre di rinnovo del lease.
- CVE-2026-102552 (resolver DNS): Non esiste una soluzione alternativa basata sulla sola configurazione nelle versioni interessate, poiché la convalida dell’IP di origine del risponditore non è disponibile nelle versioni precedenti alla V4.4.2. Laddove possibile, limitare il dispositivo a un resolver locale attendibile e proteggere il percorso di rete locale riduce l’esposizione alla falsificazione delle risposte off-path, ma non elimina il problema.
Riferimenti:
Ringraziamenti:
Desideriamo ringraziare Cipher / Causal Security per aver collaborato alla risoluzione di questo problema attraverso il processo coordinato di divulgazione delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.