Amazon Web Services ha pubblicato un advisory di sicurezza critico che affronta un gruppo di quattro vulnerabilità scoperte all’interno del kernel FreeRTOS, un sistema operativo in tempo reale ampiamente diffuso e progettato specificamente per microcontrollori e microprocessori con risorse limitate. Designato con l’ID bollettino 2026-086-AWS e pubblicato ufficialmente il 21/08/2026, l’avviso delinea quattro distinte falle di sicurezza—tracciate come CVE-2026-77234, CVE-2026-77235, CVE-2026-77236 e CVE-2026-77237—che richiedono un’attenzione immediata da parte di sviluppatori e amministratori di sistema che utilizzano le configurazioni interessate.
Comprendere la portata delle vulnerabilità di FreeRTOS
I sistemi operativi in tempo reale costituiscono la spina dorsale dei sistemi embedded, dei dispositivi Internet of Things e dell’hardware di automazione industriale, ambiti in cui tempi di risposta prevedibili e una gestione efficiente delle risorse sono di primaria importanza. FreeRTOS si conferma come uno dei kernel open source più importanti in questo settore. Tuttavia, le nuove falle di sicurezza scoperte dimostrano che i complessi layer di integrazione hardware-software—come le unità di protezione della memoria e gli stati di esecuzione di sicurezza imposti dall’hardware—introducono vettori sottili per una potenziale compromissione, se le configurazioni non vengono gestite meticolosamente.
Le quattro vulnerabilità prendono di mira specifiche caratteristiche architetturali e scelte di implementazione all’interno del kernel, il che significa che non tutte le applicazioni basate su FreeRTOS sono intrinsecamente a rischio. L’esposizione è strettamente determinata dall’incorporazione o meno, da parte di un progetto, di specifici moduli funzionali, come unità di protezione della memoria, insiemi di code o zone di esecuzione sicura.
Analisi dettagliata dei componenti interessati e delle CVE
Un esame rigoroso del bollettino di sicurezza rivela le condizioni precise in cui ciascuna vulnerabilità si manifesta nell’ecosistema software:
- CVE-2026-77234: Questo problema interessa in modo specifico le configurazioni che sfruttano la Memory Protection Unit (MPU) di FreeRTOS in combinazione con i timer software. Le applicazioni che operano senza utilizzare la MPU di FreeRTOS non subiscono conseguenze. Le versioni software interessate vanno dalla versione 7.0.0 fino alla versione 11.3.0 inclusa per le porte abilitate per la MPU.
- CVE-2026-77235: Questa falla prende di mira le architetture che utilizzano la tecnologia ARM TrustZone all’interno delle configurazioni ARMv8-M. Le applicazioni che non incorporano contesti sicuri ARM TrustZone sono esenti da questo rischio. Le build interessate vanno dalla versione 10.2.0 alla 11.3.0, nello specifico per le porte ARMv8-M che utilizzano sia TrustZone che MPU.
- CVE-2026-77236: Analogamente alla sua controparte, questa vulnerabilità interessa le configurazioni ARM TrustZone (ARMv8-M), mentre le applicazioni senza TrustZone non sono interessate. La finestra delle versioni vulnerabili copre le versioni dalla 10.2.0 alla 11.3.0 per le porte ARMv8-M dotate di funzionalità TrustZone.
- CVE-2026-77237: Questo problema riguarda le build in cui gli insiemi di code (queue sets) sono esplicitamente abilitati tramite il parametro di configurazione
configUSE_QUEUE_SETS=1. I sistemi compilati senza gli insiemi di code abilitati non sono interessati. La falla interessa le porte abilitate per la MPU che eseguono le versioni dalla 7.4.0 alla 11.3.0.
Mitigazione e prossimi passaggi per gli sviluppatori
I team di ingegneria che mantengono prodotti embedded basati sul kernel FreeRTOS dovrebbero esaminare immediatamente le configurazioni della propria base di codice rispetto ai criteri delineati nell’avviso di sicurezza AWS. Poiché le vulnerabilità sono strettamente legate a sottosistemi opzionali—come l’isolamento MPU, la gestione delle code e l’elaborazione sicura TrustZone—l’audit dei file di configurazione del progetto rappresenta il primo passo critico per determinare l’esposizione.
Le organizzazioni devono consultare il bollettino di sicurezza ufficiale AWS e i relativi percorsi di aggiornamento per applicare le patch necessarie o il rafforzamento della configurazione (hardening) richiesto per proteggere le loro distribuzioni di microcontrollori da un potenziale sfruttamento.
Fonte: Articolo originale
