Amazon Web Services hat einen kritischen Sicherheitshinweis veröffentlicht, der vier im FreeRTOS-Kernel entdeckte Schwachstellen adressiert. FreeRTOS ist ein weit verbreiteter Echtzeitbetriebssystem-Kernel, der speziell für Mikrocontroller und ressourcenbeschränkte Mikroprozessoren entwickelt wurde. Unter der Bulletin-ID 2026-086-AWS und offiziell am 21.08.2026 veröffentlicht, listet das Advisory vier verschiedene Sicherheitslücken auf – geführt als CVE-2026-77234, CVE-2026-77235, CVE-2026-77236 und CVE-2026-77237 –, die von Entwicklern und Systemadministratoren, die betroffene Konfigurationen einsetzen, sofortige Aufmerksamkeit erfordern.
Die Tragweite der FreeRTOS-Schwachstellen verstehen
Echtzeitbetriebssysteme bilden das Fundament von eingebetteten Systemen, IoT-Geräten und industrieller Automatisierungshardware, bei denen vorhersehbare Reaktionszeiten und ein effizientes Ressourcenmanagement von größter Bedeutung sind. FreeRTOS gilt als einer der prominentesten Open-Source-Kernel in diesem Bereich. Die neu offengelegten Sicherheitslücken zeigen jedoch, dass komplexe Hard- und Software-Integrationsschichten – wie Speicherschutzeinheiten und hardwareerzwungene Sicherheitsausführungszustände – subtile Vektoren für potenzielle Kompromittierungen bergen, wenn Konfigurationen nicht sorgfältig verwaltet werden.
Die vier Schwachstellen zielen auf spezifische architektonische Merkmale und Implementierungsentscheidungen innerhalb des Kernels ab, was bedeutet, dass nicht jede auf FreeRTOS basierende Anwendung inhärent gefährdet ist. Das Risiko hängt streng davon ab, ob ein Projekt bestimmte Funktionsmodule wie Speicherschutzeinheiten, Warteschlangengruppen oder sichere Ausführungszonen einbindet.
Detaillierte Aufschlüsselung der betroffenen Komponenten und CVEs
Eine genaue Untersuchung des Sicherheitshinweises offenbart die präzisen Bedingungen, unter denen sich die jeweiligen Schwachstellen im gesamten Software-Ökosystem manifestieren:
- CVE-2026-77234: Dieses Problem betrifft gezielt Konfigurationen, die die FreeRTOS-Speicherschutzeinheit (MPU) in Verbindung mit Software-Timern nutzen. Anwendungen, die ohne die FreeRTOS-MPU arbeiten, bleiben unverschont. Die betroffenen Softwareversionen erstrecken sich von Version 7.0.0 bis einschließlich Version 11.3.0 für MPU-fähige Ports.
- CVE-2026-77235: Diese Lücke zielt auf Architekturen ab, die ARM-TrustZone-Technologie innerhalb von ARMv8-M-Konfigurationen verwenden. Anwendungen, die keine sicheren ARM-TrustZone-Kontexte einbinden, sind von diesem Risiko ausgenommen. Betroffene Builds reichen von Version 10.2.0 bis 11.3.0, speziell für ARMv8-M-Ports, die sowohl TrustZone als auch MPU nutzen.
- CVE-2026-77236: Ähnlich wie das Gegenstück betrifft diese Schwachstelle ARM-TrustZone-Konfigurationen (ARMv8-M), wobei Nicht-TrustZone-Anwendungen nicht betroffen sind. Das betroffene Versionsfenster deckt die Versionen 10.2.0 bis 11.3.0 für ARMv8-M-Ports mit TrustZone-Funktionen ab.
- CVE-2026-77237: Dieses Problem betrifft Builds, bei denen Warteschlangengruppen (Queue Sets) explizit über den Konfigurationsparameter
configUSE_QUEUE_SETS=1aktiviert sind. Systeme, die ohne aktivierte Warteschlangengruppen kompiliert wurden, sind nicht betroffen. Die Lücke betrifft MPU-fähige Ports der Versionen 7.4.0 bis 11.3.0.
Mitigation und nächste Schritte für Entwickler
Ingenieursteams, die eingebettete Produkte auf Basis des FreeRTOS-Kernels pflegen, sollten ihre Codebasis-Konfigurationen umgehend anhand der im AWS-Sicherheitshinweis dargelegten Kriterien überprüfen. Da die Schwachstellen tief mit optionalen Subsystemen – wie MPU-Isolierung, Warteschlangenverwaltung und TrustZone-Sicherheitsverarbeitung – verknüpft sind, stellt die Überprüfung der Projektkonfigurationsdateien den entscheidenden ersten Schritt zur Bestimmung der Gefährdung dar.
Unternehmen müssen das offizielle AWS-Sicherheitsbulletin und die zugehörigen Upgrade-Pfade konsultieren, um die notwendigen Patches oder Konfigurationshärtungen anzuwenden, die erforderlich sind, um ihre Mikrocontroller-Bereitstellungen gegen eine mögliche Ausnutzung zu sichern.
Quelle: Originalartikel
