FreeRTOS-Plus-TCP CVE-2026-102551·CVE-2026-102552 보안 이슈, IPv6 RA·DNS 응답 검증 미흡

AWS 보안 공지에 따르면 FreeRTOS-Plus-TCP에서 두 건의 취약점이 확인됐다. 하나는 IPv6 Router Advertisement 처리기에서, 다른 하나는 DNS 리졸버에서 응답 출처 검증이 충분하지 않은 문제다. 두 이슈 모두 특정 조건에서 원격 제3자가 네트워크 설정이나 이름 해석 결과에 영향을 줄 수 있어, FreeRTOS 기반 장비를 운영하는 환경에서는 사용 버전과 기능 활성화 상태를 우선 확인할 필요가 있다.

두 취약점의 핵심 영향

CVE-2026-102551은 IPv6 Router Advertisement 처리 과정에서 수신한 광고가 온링크 출처인지 충분히 검증하지 않는 문제다. 이 경우 장비의 IPv6 게이트웨이, 프리픽스, 주소 설정이 외부 영향에 노출될 수 있고, 결과적으로 장비의 IPv6 트래픽이 가로채기 가능한 방향으로 바뀔 가능성이 제시됐다.

CVE-2026-102552는 DNS 리졸버가 질의한 서버에서 온 응답인지 완전하게 확인하지 않고 받아들이는 문제다. 이 조건이 맞으면 원격 제3자가 장비의 DNS 캐시에 임의 주소를 주입해 이후 연결 대상을 다른 주소로 돌릴 수 있다.

영향 범위와 기본 설정 관련 확인 포인트

AWS는 두 이슈 모두 FreeRTOS-Plus-TCP V4.4.1 이하에 영향을 준다고 밝혔다. 특히 CVE-2026-102551은 기본 설정에서 ipconfigUSE_IPv6와 ipconfigUSE_RA가 모두 활성화된 경우 도달 가능하다고 설명했다.

운영 측면에서는 단순히 라이브러리 버전만 볼 것이 아니라, 실제 펌웨어 빌드에서 IPv6와 Router Advertisement 사용 여부, DNS 리졸버 사용 경로를 함께 확인해야 한다. 동일 코드가 여러 장비 모델이나 표준 이미지에 재사용됐다면 잔존 버전 확인 범위를 넓게 잡는 편이 안전하다.

임베디드·IoT 장비 운영 환경에서 볼 점

데이터센터나 서버호스팅 사업자가 직접 FreeRTOS-Plus-TCP를 쓰지 않더라도, 랙 내 전원 장치, 환경 센서, 콘솔 보조 장비, 네트워크 부속 장비 등 임베디드 구성요소에 포함돼 있을 수 있다. 이런 경우 관리망이나 장비 서비스망에서 IPv6 RA와 DNS 응답 신뢰 경로를 점검하는 것이 현실적인 대응 포인트다.

일본·국내 IDC처럼 다수의 현장 장비가 장기간 운영되는 환경에서는 펌웨어 교체 주기가 길 수 있다. 따라서 자산 목록에서 FreeRTOS 기반 장비를 식별하고, 공급사 제공 업데이트 여부와 내부 표준 이미지 반영 상태를 함께 관리해야 동일 취약 버전의 재배포를 줄일 수 있다.

운영자가 바로 확인할 체크리스트

1) FreeRTOS-Plus-TCP 사용 여부와 버전이 V4.4.1 이하인지 확인한다. 2) IPv6 사용 환경에서는 ipconfigUSE_IPv6 및 ipconfigUSE_RA 활성화 여부를 확인한다. 3) DNS 리졸버를 사용하는 장비와 펌웨어 이미지를 식별한다.

4) 공급사나 내부 배포 경로에서 제공하는 수정본 또는 후속 버전 적용 계획을 확인한다. 5) 내부 미러, golden image, 제조 단계 펌웨어 번들에 영향 버전이 남아 있는지 점검한다. 6) 업데이트 전후로 IPv6 기본 게이트웨이·프리픽스 변화와 DNS 캐시 기반 접속 대상 변화를 모니터링한다.

핵심 포인트

• FreeRTOS-Plus-TCP에서 IPv6 Router Advertisement와 DNS 응답 검증 미흡 이슈 두 건이 공개됐다.
• 영향 버전은 두 CVE 모두 V4.4.1 이하이다.
• CVE-2026-102551은 기본 설정에서 ipconfigUSE_IPv6와 ipconfigUSE_RA가 모두 활성화되면 도달 가능하다.
• 운영자는 버전 확인뿐 아니라 펌웨어 이미지, 공급사 배포본, 장비 설정까지 함께 점검해야 한다.