AWSは2026年10月16日(米国太平洋夏時間)、組み込み・IoT機器向けの通信ソフトウェア「FreeRTOS-Plus-TCP」にある脆弱性2件を公表しました。対象はV4.4.1以前で、特定条件下で通信の傍受や接続先の誘導につながる恐れがあります。修正版はV4.4.2ですが、DNSに関する対策は更新だけでは完了せず、設定変更も必要です。
通信設定への干渉と、接続先の誘導に注意
FreeRTOS-Plus-TCPは、組み込み・IoT機器向けのオープンソースのTCP/IPスタックです。機器に組み込まれた通信機能が対象なので、情シスは開発部門や機器メーカーと利用状況を確認する必要があります。
「CVE-2026-102551」は、IPv6のRouter Advertisement(RA)の送信元を十分に検証しない問題です。AWSによると、特定条件下で第三者が機器のIPv6ゲートウェイやプレフィックス、アドレス設定に干渉し得ます。その結果、機器のIPv6通信を傍受される恐れがあります。IPv6とRA処理が有効な既定設定でも影響を受けます。
「CVE-2026-102552」は、名前から接続先アドレスを調べるDNSの応答を受け取る際に、送信元が問い合わせ先のサーバーかどうかを十分に検証しない問題です。第三者が特定条件下で任意のアドレスをDNSキャッシュに挿入し、その名前への後続接続を別の宛先へ誘導する恐れがあります。
日本での提供は発表には書かれていません。今回の確認では、地域だけで対象外と判断せず、機器に組み込まれた版と設定を調べることが重要です。
DNSは修正版への更新と設定変更がセット
AWSは最新版への更新と、フォークや派生コードへの修正取り込みを推奨しています。独自に改変したコードを使っている場合は、元の製品名や版の確認だけでなく、修正が反映されているかの確認も必要です。
特に見落としやすいのがDNSの設定です。DNS応答元IPの検証は任意の機能で、既定では無効です。対策にはV4.4.2への更新に加え、設定ファイル「FreeRTOSIPConfig.h」で「ipconfigDNS_CHECK_REPLY_SOURCE_IP」を有効にする必要があります。
更新できず、IPv6のRAによる自動設定が不要な機器について、AWSはRA処理かIPv6全体の無効化を回避策として案内しています。RA処理を止める場合は、「ipconfigUSE_RA」を「ipconfigDISABLE」に設定します。
RA GuardやSENDは、同一リンク内からの攻撃経路を緩和します。ただし、リース更新時のリンク外からの攻撃経路には対処できません。また、影響を受ける版にはDNS応答元IPの検証機能がなく、DNSの問題を設定変更だけで回避する方法はありません。信頼できるローカルDNSへの接続制限と通信経路の保護は、リスクを減らしますが、解消はしません。
影響する会社・しない会社
- 影響する: FreeRTOS-Plus-TCP V4.4.1以前を組み込んだ機器を開発・利用している会社です。派生コードを使っている場合も、修正の取り込み状況を確認する必要があります。
- 影響する: 対象版でIPv6とRA処理を有効にしている機器を扱う会社です。既定設定だから安全とは判断できません。
- 影響しない: FreeRTOS-Plus-TCPを使っていない機器は、今回公表された2件の対象ではありません。ただし、採用状況が不明な機器は、対象外ではなく未確認として扱ってください。
情シスが今日やること
- 機器の一覧と開発資料からFreeRTOS-Plus-TCPの採用有無と版を調べます。不明な機器は、開発担当者や機器メーカーに「V4.4.1以前か」「派生コードか」を問い合わせてください。
- 対象機器の開発担当者に、FreeRTOSIPConfig.hの「ipconfigDNS_CHECK_REPLY_SOURCE_IP」と「ipconfigUSE_RA」の設定確認を依頼します。情シスからファイルを確認できない場合は、設定値とIPv6の有効・無効を回答してもらいます。
- 更新を担当する部門やメーカーに、V4.4.2への更新、または派生コードへの修正取り込みの予定を確認します。DNS対策は設定の有効化も完了条件に含め、更新作業を完了とする前に確認してください。
- 更新まで時間がかかる機器は、利用部門とRAによる自動設定の必要性を確認します。不要ならRA処理などの無効化を検討し、DNSの接続制限だけでは問題を解消できないことも関係者に伝えてください。対応期限は発表には書かれていないため、未対応機器ごとに担当者と期限を決めて管理します。
