AWS פרסמה ב-30 באוקטובר 2026 התראת אבטחה חשובה על CVE-2026-119086 ב-FreeRTOS-Kernel. החולשה נמצאת בנתיב הבחירה של Queue Sets: הקרנל אינו מאמת באופן מלא שהאובייקט שאליו מתייחסת הפעולה הוא אכן Queue Set לפני שהוא פועל עליו.
בבניות שמפעילות גם MPU וגם Queue Sets, משימה לא מורשית עלולה לגרום לקרנל לכתוב מעבר ליעד המתוכנן בזמן שהקוד פועל בהקשר בעל הרשאות. בכך נפגעת שלמות ההרצה המוגנת וגבול הבידוד שאמור ה-MPU לאכוף בין משימות.
מי מושפע?
לפי AWS וה-Advisory הרשמי של FreeRTOS, הטווח המושפע הוא FreeRTOS-Kernel מגרסה V7.4.0 ועד V11.3.2, ורק כאשר נעשה שימוש ב-MPU wrappers וההגדרה configUSE_QUEUE_SETS=1 פעילה. יישומים שנבנו ללא Queue Sets אינם מושפעים מהבעיה הזאת.
ההבחנה חשובה במיוחד ליצרני ציוד, משום שאין די בבדיקה אם FreeRTOS מופיע ב-SBOM. צריך לבדוק את גרסת הקרנל, את ה-port שבו משתמשת הקושחה ואת דגלי הקומפילציה שנכנסו לבנייה בפועל.
מהו הסיכון המעשי?
FreeRTOS נפוץ במיקרו-בקרים ובמערכות משובצות, שבהן הפרדת הרשאות מגינה על רכיבים רגישים מפני משימות פחות מהימנות. כתיבה מחוץ ליעד המיועד מתוך הקשר privileged עלולה לפגוע בנתונים פנימיים של הקרנל ולערער את ההנחה שמשימה unprivileged אינה יכולה להשפיע על אזור ההרשאות הגבוה.
ה-Advisory של FreeRTOS מדרג את החולשה כ-Moderate בציון CVSS של 6.5. עם זאת, רמת הסיכון בפועל תלויה בארכיטקטורת המוצר, ביכולת תוקף להפעיל קוד כמשימה לא מורשית ובשימוש ב-Queue Sets.
התיקון: לא רק לעדכן ספרייה
- לזהות מוצרים עם FreeRTOS-Kernel בגרסאות V7.4.0–V11.3.2.
- לוודא אם MPU wrappers ו-
configUSE_QUEUE_SETS=1מופעלים. - לשדרג ל-FreeRTOS-Kernel V11.3.3 או גרסה חדשה יותר.
- לעדכן גם forks וקוד נגזר שמכילים את הנתיב הפגיע.
- לבנות מחדש, להריץ בדיקות רגרסיה ולצרוב מחדש את הקושחה במכשירים המושפעים.
השבתת Queue Sets מוציאה את הבנייה מטווח ההשפעה, אך כאשר התכונה נדרשת AWS ממליצה על שדרוג לגרסה המתוקנת. בסביבות IoT חשוב לכלול בתוכנית גם מנגנון הפצה, אימות חתימה ומעקב אחר שיעור ההתקנות בשטח.
מקורות
קרדיט תמונה: David Yu / Pexels. דף המקור. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובשיווק וכן עריכה; התמונה היא המחשה בלבד ואינה מעידה על קשר ל-AWS, Amazon או FreeRTOS.
