CVE-2026-102551 e CVE-2026-102552: problema com o FreeRTOS-Plus-TCP
ID do boletim: 2026-139-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 16/10/2026 10h15 PDT
Descrição:
o FreeRTOS-Plus-TCP é uma pilha TCP/IP de código aberto e segura para threads para o kernel do FreeRTOS, distribuída pela Amazon para uso em dispositivos incorporados e de IoT. A AWS identificou dois problemas com o FreeRTOS-Plus-TCP, afetando várias versões.
CVE-2026-102551: verificação inadequada da origem de um canal de comunicação no manipulador de anúncio de roteador IPv6. O manipulador não valida totalmente se um anúncio de roteador recebido se origina de uma fonte no link antes de agir sobre ele. Sob certas condições, um terceiro remoto pode influenciar a configuração do gateway, prefixo e endereço IPv6 de um endpoint, potencialmente permitindo a interceptação do tráfego IPv6 do dispositivo. Esse problema pode ser acessado na configuração padrão da biblioteca, na qual ipconfigUSE_IPv6 e ipconfigUSE_RA estão habilitados.
CVE-2026-102552: verificação inadequada da origem de um canal de comunicação no resolvedor de DNS. O resolvedor não valida totalmente se uma resposta de DNS se origina do servidor que foi consultado antes de aceitá-la. Sob certas condições, um terceiro remoto pode inserir um endereço escolhido no cache DNS do dispositivo, potencialmente redirecionando as conexões subsequentes do dispositivo para o nome afetado.
Versões afetadas:
- CVE-2026-102551 (anúncio de roteador): <= V4.4.1
- CVE-2026-102552 (resolvedor de DNS): <= V4.4.1
Resolução:
este problema foi resolvido na versão V4.4.2 do FreeRTOS-Plus-TCP. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Para o problema do resolvedor de DNS, a validação do IP de origem do respondente é fornecida como algo opcional e é desabilitada por padrão; a atualização por si só não corrige isso. Para corrigir, atualize para a V4.4.2 e habilite ipconfigDNS_CHECK_REPLY_SOURCE_IP em FreeRTOSIPConfig.h.
Soluções alternativas:
- CVE-2026-102551 (anúncio de roteador): se a atualização não for possível imediatamente, desabilite o processamento de anúncios de roteador IPv6 definindo ipconfigUSE_RA como ipconfigDISABLE (ou desabilite o IPv6 totalmente com ipconfigUSE_IPv6 = ipconfigDISABLE) em FreeRTOSIPConfig.h onde o dispositivo não exige configuração automática baseada em IPv6 RA. No lado da rede, a implantação do RA Guard e/ou SEND no link local atenua o vetor on-link, mas não resolve o vetor off-link alcançável durante as janelas de renovação do lease.
- CVE-2026-102552 (resolvedor de DNS): não há solução alternativa somente de configuração nas versões afetadas, porque a validação do IP de origem do respondente não existia antes da V4.4.2. Sempre que possível, restringir o dispositivo a um resolvedor local confiável e proteger o caminho da rede local reduz o acesso não intencional à falsificação de respostas fora do caminho, mas não elimina o problema.
Referências:
Reconhecimento:
gostaríamos de agradecer à Cipher/Causal Security pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.