安全公告：AWS-2025-023

发布日期：2025年10月10日 太平洋夏令时间上午10:15 公告ID：AWS-2025-023 范围：AWS 内容类型：重要（需关注）

我们已识别以下CVE漏洞：

• CVE-2025-11616：当接收到小于预期大小的特定消息类型的ICMPv6数据包时，会发生缓冲区越读。
• CVE-2025-11617：当接收到IPv6数据包头中载荷长度不正确的IPv6数据包时，会发生缓冲区越读。
• CVE-2025-11618：当接收到IPv6数据包头中IP版本字段不正确的UDP/IPv6数据包时，会发生无效指针解引用。

描述： FreeRTOS-Plus-TCP 是一个专为FreeRTOS设计的开源TCP/IP协议栈实现。该协议栈提供标准的伯克利套接字接口，并支持包括IPv6、ARP、DHCP、DNS、LLMNR、mDNS、NBNS、RA、ND、ICMP和ICMPv6在内的基本网络协议。 这些问题仅影响使用IPv6的应用程序。 受影响版本：v4.0.0 至 v4.3.3（如果启用了IPv6支持）

解决方案： 此问题已在 FreeRTOS-Plus-TCP 版本 4.3.4 中得到解决。我们建议升级到最新版本，并确保任何分支或衍生代码都已打补丁以纳入新的修复。

变通方案： 无。

致谢： 我们要感谢 Mayhem Security 通过协调漏洞披露流程在此问题上的合作。

参考：

• GHSA-6fh9-mqxj-hmwj
• GHSA-wmjr-wm93-cvv2
• GHSA-8j9h-xjm9-8j6j

如有任何安全问题或疑虑，请发送邮件至 aws-security@amazon.com。