SevenIDC

News

NEWS

보안

FreeRTOS-Kernel 4건 취약점 대응: CVE-2026-77234, CVE-2026-77235, CVE-2026-77236, CVE-2026-77237

게재일 2026. 08. 22.조회 0
FreeRTOS-Kernel, CVE-2026-77234, CVE-2026-77235 관련 기술 이미지
SevenIDC 기술 요약 이미지

AWS 보안 공지에 따르면 FreeRTOS-Kernel에서 4건의 취약점이 확인됐다. 공통적으로 모든 환경이 아닌 특정 구성에서만 영향이 발생하므로, 임베디드 장비나 연동 시스템을 운영하는 조직은 단순 버전 확인에 그치지 말고 MPU 사용 여부, ARMv8-M TrustZone 적용 여부, queue sets 활성화 여부까지 함께 점검해야 한다.

취약점별 영향 범위

이번 공지는 FreeRTOS-Kernel의 여러 버전에 걸쳐 4건의 이슈가 존재한다고 설명한다. CVE-2026-77234는 FreeRTOS MPU와 software timers를 함께 사용하는 구성에 해당하며, MPU를 쓰지 않는 애플리케이션은 영향 대상이 아니다.

CVE-2026-77235와 CVE-2026-77236은 ARM TrustZone(ARMv8-M) 구성에 영향을 준다. 특히 secure contexts를 사용하지 않는 애플리케이션은 영향받지 않는다고 구분돼 있어, 같은 ARMv8-M 계열이라도 실제 보안 컨텍스트 사용 여부에 따라 점검 우선순위가 달라질 수 있다.

CVE-2026-77237은 queue sets가 활성화된 빌드에서만 문제가 된다. 따라서 운영 중인 펌웨어나 SDK 기반 이미지가 해당 기능을 켠 채 배포됐는지 확인하는 작업이 중요하다.

영향 버전 기준으로 확인할 항목

원문 기준 영향 버전은 CVE-2026-77234가 7.0.0 이상 11.3.0 이하의 MPU-enabled ports, CVE-2026-77235가 10.2.0 이상 11.3.0 이하의 ARMv8-M ports with TrustZone + MPU, CVE-2026-77236이 10.2.0 이상 11.3.0 이하의 ARMv8-M ports with TrustZone, CVE-2026-77237이 7.4.0 이상 11.3.0 이하의 MPU-enabled ports with configUSE_QUEUE_SETS=1이다.

운영자는 먼저 사용 중인 FreeRTOS-Kernel 버전을 확인한 뒤, 빌드 타깃 포트와 보안 기능 조합을 대조해야 한다. 버전만 영향 범위에 들어가더라도 MPU 미사용, TrustZone secure contexts 미사용, queue sets 비활성화라면 공지상 직접 영향은 제한될 수 있다.

반대로 소스 저장소, 내부 패키지 미러, 표준 펌웨어 베이스라인, 장비 공급사 SDK에 FreeRTOS-Kernel 11.3.0 이하가 포함돼 있으면 실제 배포 여부와 무관하게 추적 목록에 올려 둘 필요가 있다.

인프라 운영팀이 볼 실무적 의미

이번 이슈는 전형적인 서버 운영체제 취약점과는 다르지만, IDC나 서버호스팅 사업자가 직접 관리하는 IoT 게이트웨이, 설비 제어 보드, 원격 전원 장치, 환경 모니터링 장비, 네트워크 주변 장비 펌웨어에 FreeRTOS 계열이 포함될 가능성은 있다. 따라서 자산 식별 단계에서 임베디드 소프트웨어 구성요소까지 추적 가능한지 점검하는 계기가 된다.

특히 한국 및 일본 데이터센터 운영 환경에서는 고객 장비 자체보다 부대 설비나 관제 연동 장치의 펌웨어 가시성이 낮은 경우가 많다. 이런 경우 CVE 번호만으로 끝내지 말고 공급사 문서, SBOM, 빌드 설정 문서에서 FreeRTOS MPU·TrustZone·queue sets 사용 여부를 확인하는 절차가 필요하다.

현재 공지 기준 대응 방향

AWS 공지 본문에는 영향 범위와 조건이 제시돼 있지만, 이 입력 기준으로는 수정 버전이나 구체적 패치 릴리스 번호는 포함돼 있지 않다. 따라서 즉시 가능한 대응은 영향 버전 식별, 해당 기능 사용 여부 확인, 관련 펌웨어·SDK 재배포 계획 수립 순으로 정리하는 것이 적절하다.

외부에서 반입한 개발 보드 이미지나 오래된 내부 레퍼런스 프로젝트가 남아 있다면 11.3.0 이하 커널과 취약 구성 옵션이 계속 재사용될 수 있다. 운영팀과 개발팀은 배포 중 장비뿐 아니라 템플릿 프로젝트와 내부 미러 보관본까지 함께 점검해야 한다.

핵심 포인트

  • FreeRTOS-Kernel에서 CVE 4건이 공개됐으며 모두 특정 구성에서만 영향이 발생한다.
  • CVE-2026-77234는 FreeRTOS MPU와 software timers를 함께 쓰는 환경이 대상이다.
  • CVE-2026-77235와 CVE-2026-77236은 ARMv8-M TrustZone 구성, 특히 secure contexts 사용 여부가 핵심 조건이다.
  • CVE-2026-77237은 queue sets 활성화 빌드(configUSE_QUEUE_SETS=1)에서만 영향이 있다.
  • 공지 입력 기준으로 수정 버전 정보는 없으므로 버전·포트·빌드 옵션 식별이 우선이다.
출처: AWS Security Blog
← NEWS 목록문의하기