Schwachstellen in der STM32Cube-Middleware: lwIP, mbedTLS, FreeRTOS

Was ST mitliefert

Ein STM32Cube-Paket bringt neben HAL und CMSIS Bibliotheken anderer Hersteller mit. Ihre Versionen stehen in den Headern und in der Datei st_readme.txt je Middleware, in der ST jede Aktualisierung einträgt.

ls Middlewares/Third_Party

FatFs
FreeRTOS
LibJPEG
LwIP
mbedTLS

grep -E "#define LWIP_VERSION_(MAJOR|MINOR|REVISION)" LwIP/src/include/lwip/init.h

#define LWIP_VERSION_MAJOR      2
#define LWIP_VERSION_MINOR      1
#define LWIP_VERSION_REVISION   2

grep "MBEDTLS_VERSION_STRING " mbedTLS/include/mbedtls/version.h

#define MBEDTLS_VERSION_STRING         "2.16.2"

grep -n "### 15-March-2019\|Upgrade to use LwIP V2.1.2" LwIP/st_readme.txt

54:### 15-March-2019 ###
56:  + Upgrade to use LwIP V2.1.2 version

Was ST zu lwIP veröffentlicht hat

Im Sicherheitshinweis SA0037 vom 09.04.2025 nennt ST die lwIP-Schwachstellen CVE-2020-22283 und CVE-2020-22284 als relevant für STM32CubeF1, F2, F4, F7 und H7, bei F4 bis v1.28.1. Betroffen ist lwIP 2.1.2 und früher, behoben ab 2.1.3. Den Fix stellt ST in einem eigenen Repository bereit; einbauen muss ihn der Hersteller selbst.

ST schreibt dazu: „Because the issue might not be fixed in subsequent version, refer to the release notes of the affected product to check if the issue has been fixed.“ Das neuere F4-Paket v1.28.3 enthält weiter lwIP 2.1.2, und die Zeile, die ST mit dem Fix ändert, ist darin unverändert:

curl -s https://raw.githubusercontent.com/STMicroelectronics/stm32-mw-lwip/v2.1.3_20230818/src/netif/zepif.c | diff LwIP/src/netif/zepif.c -

204c204
<   err = pbuf_take_at(q, p->payload, p->tot_len, sizeof(struct zep_hdr));
---
>   err = pbuf_copy_partial_pbuf(q, p, p->tot_len, sizeof(struct zep_hdr));

Bekannte Schwachstellen je Komponente

Eine Auswahl aus NVD, geprüft am 20.10.2026. Keine davon steht im Katalog aktiv ausgenutzter Schwachstellen der CISA. Ob eine Lücke im Gerät ausnutzbar ist, hängt davon ab, ob die betroffene Funktion gebaut und erreichbar ist.

mbedTLS: der Hinweis SB0033

Für mbedTLS veröffentlicht ST keine eigene CVE-Liste. Der Hinweis SB0033 sagt, dass die Sicherheitshinweise von TrustedFirmware.org auf die STM32Cube-Pakete mit mbedTLS anwendbar sind, und nennt als Abhilfe: das Paket mit einer korrigierten mbedTLS-Version von der mbedTLS-Website neu konfigurieren. Welche Version im Paket steckt, steht wieder in st_readme.txt.

So finden Sie heraus, was Ihr Gerät trägt

1. 01

   Paketversion bestimmen

   in der .ioc-Datei die Zeile ProjectManager.FirmwarePackage.

2. 02

   Middleware-Versionen lesen

   Header und st_readme.txt je Bibliothek, oder die Release-Notes des Pakets.

3. 03

   Prüfen, was gelinkt ist

   die Symboltabelle des ELF oder AXF. Eine Bibliothek, die keine Funktion im Image hinterlässt, steckt nicht im Gerät.

4. 04

   Konfiguration prüfen

   IPv6, 6LoWPAN, DTLS und andere Optionen entscheiden, ob eine Lücke überhaupt gebaut ist.

5. 05

   Fix einbauen

   die korrigierte Bibliothek übernehmen, auch wenn das Cube-Paket selbst noch die alte Version trägt.

Was LegacyMind dabei automatisch macht

LegacyMind liest aus dem ELF oder AXF Ihres Builds die eingebauten Bibliotheken mit Version, etwa lwIP, mbedTLS und FreeRTOS aus STM32Cube, und gleicht sie gegen die öffentlichen Schwachstellenquellen ab, mit dem Vermerk, ob eine Lücke aktiv ausgenutzt wird. Belegt die Datei keine Version, bleibt das Feld leer.