ThreadX全家桶再升级，发布6.5.2b（2026-11-04）

eric2013

ThreadX 和 NetX Duo 同时发布 6.5.2.202603b 热修版，合计修 21 个 CVE。其中 NetX Duo 那 13 个里有 8 个网络可达、不需要任何凭据，用 NetX Duo 联网的项目应该立刻升；ThreadX 那 8 个全部要求设备上已有本地代码执行能力，不打到 Module Manager 或 TrustZone-M 的应用可以缓。

其余组件（FileX / GUIX / USBX / LevelX）本批次没有 b 版，最新仍是 6.5.2.202603。

一、这次发布的范围

组件	tag	发布时间（UTC）	CVE
ThreadX	v6.5.2.202603b_rel	2026-11-01 17:34	8
NetX Duo	v6.5.2.202603b_rel	2026-11-01 17:34	13
FileX / GUIX / USBX / LevelX	无 b 版	—	—

两个仓库的发布时间戳只差 6 秒，属于同一批修复流水线出来的。

二、ThreadX 8 个：7 个模块 + 1 个 TrustZone-M

共同前提：攻击者必须已经能在设备上执行代码——要么在已加载的模块里，要么在非安全世界。不需要用户交互，但没有任何一个可以远程触发。

影响范围：6.0.1 起（或引入受影响端口的那个版本）到 6.5.2.202603 含。

CVE	评分	问题
CVE-2026-102710	8.5	Module Manager 把未校验的 tx_trace_buffer_full_notify 复制代码 回调透给内核，内核在特权态调用它，模块借此拿到一段特权执行
CVE-2026-115231	8.5	用户态模块可以向另一个模块的回调队列投递伪造请求，用对方的权限运行自己的代码
CVE-2026-102709	8.4	TrustZone-M 入口函数未校验指针（可读、可绕隔离、可越界写）
CVE-2026-113421	7.3	模块卸载后 trace-full 回调仍会被调用，use-after-free
CVE-2026-115653	7.0	Cortex-M 模块端口在特权态用用户态模块线程未校验的 SP 保存被抢占的寄存器
CVE-2026-102711	6.9	模块加载器越界读，且不验证入口指针
CVE-2026-115654	6.9	用户态模块可以对不属于自己的线程做 suspend / terminate / 改优先级 / 中止等待
CVE-2026-118052	6.8	前导区尺寸溢出时 manager 互斥锁不放，后续所有模块操作全被堵死

这批缺陷的共同形状：用户态模块交给 Module Manager 一个指针、一个名字、一个长度，Manager 校验不足就用了。8 个里 6 个是"跨模块越权"，2 个是"文件头解析"。

行为变更（会打到现有工程）

• 用户态模块不能再注册
  1. tx_trace_buffer_full_notify

  复制代码
  ，返回
  1. TXM_MODULE_INVALID_PROPERTIES

  复制代码
  。
• 内存保护模块不能再操作别的模块：不能向对方的回调请求队列发送、清空、接收，不能 suspend / resume / terminate / reset / re-prioritise / abort 不属于自己的线程，返回
  1. TXM_MODULE_INVALID

  复制代码
  。靠这套跨模块直连的设计，必须改成共享同步对象。
• 新增三个带长度的加载器：
  1. txm_module_manager_in_place_load_ext

  复制代码
  、
  1. txm_module_manager_memory_load_ext

  复制代码
  、
  1. txm_module_manager_absolute_load_ext

  复制代码
  ，会拒绝前导区尺寸和镜像长度对不上的镜像。原来四个不带长度的加载器仍可用，但已弃用，只补了入口点校验。
• 前导区尺寸溢出时，加载器现在会释放 manager 互斥锁。
  

三、NetX Duo 13 个：8 个网络可达

分布：NetX Secure 3 个、TSN（MSRP）3 个、ICMPv6 / BSD 层 / DHCP 客户端 / FTP 客户端 / FTP 服务器 / PPP / TFTP 各 1 个。

前提：8 个网络可达，5 个需要本地链路或同网段。全部不需要凭据；只有 FTP 服务器那个需要一个合法用户正处在传输中。

影响范围：到 6.5.2.202603a 含。

CVE	评分	问题
CVE-2026-114408	8.7	ICMPv6 处理 Packet Too Big 时，目的表满就空指针解引用。一行 IPv6 报文把设备打挂
CVE-2026-115215	8.7	DTLS 服务器在 cookie 交换完成前就为每个新来源分配会话且从不回收，伪造源地址的数据报能把会话池吃光
CVE-2026-115403	8.2	BSD raw IPv6 发送路径，同样的表满空指针
CVE-2026-102723	7.1	MSRP 属性表耗尽时空指针解引用
CVE-2026-102724	7.1	淘汰参与者列表最后一个 MSRP 属性时空指针解引用
CVE-2026-102725	7.1	MSRP 属性列表长度未校验，越界读
CVE-2026-102726	7.1	PPP 的 IPCP 选项解析无边界，worker 卡死 + 越界读
CVE-2026-102721	6.9	TFTP 客户端和服务端复制 ERROR 包消息时没有按包边界限制读取
CVE-2026-102722	6.9	FTP 客户端无条件信任 PASV 响应里的 IP 地址，可被用来打内网跳板
CVE-2026-102719	6.3	DTLS 服务器的 HelloVerifyRequest cookie 可预测，伪造客户端能通过反向可达性检查
CVE-2026-102728	6.3	NetX Secure 客户端握手解析越界读（ServerHello、HelloVerifyRequest）
CVE-2026-102727	6.0	FTP 被动数据连接没有绑定到已认证的控制连接对端
CVE-2026-102720	5.3	DHCP 客户端选项遍历，每跳过一个选项指针少偏一个字节，越界读

行为变更（三条，都比 CVE 更容易踩）

• DTLS 服务器改成无状态 cookie 交换。对初始 ClientHello 先回 HelloVerifyRequest，只有带回有效 cookie 的 ClientHello 才分配会话。cookie 是客户端地址、端口和 ClientHello 在轮转服务端密钥下的 HMAC，应用通过新增的
  1. nx_secure_dtls_server_cookie_secret_set

  复制代码
  提供密钥。
  1. NX_SECURE_DTLS_COOKIE_LENGTH

  复制代码
  现在必须在 17 到 255 之间，超出直接不工作。
• FTP 服务器拒绝来自非控制连接对端的被动数据连接。这同时终止了 server-to-server（FXP）传输。有 FXP 需求的，这一版会直接断功能。
• FTP 客户端 IPv4 被动模式改为连控制连接的对端，只用服务器回复里的端口，不再用回复里的 IP。NAT、多宿主、双栈或 CDN 场景下如果服务器 PASV 报的是另一个可达地址，行为会变。
  

四、升级判断

你的用法	结论	理由
NetX Duo 联网，开了 TLS/DTLS/FTP/TFTP/MSRP/PPP 任一	立即升	8 个 CVE 网络可达、零凭据
NetX Duo 只跑内网、只做 TCP/UDP 收发	升	ICMPv6 和 DHCP 那两条仍然在链路上可达
ThreadX + Module Manager（用户态模块动态加载）	立即升	7 个 CVE 全在这一块，且能提权到内核
ThreadX + TrustZone-M	升	安全栈入口函数指针未校验，隔离直接被绕
纯 ThreadX 内核，无模块、无 TrustZone	可缓，跟下个版本	8 个都需要本地代码执行，网络不可达

五、迁移检查清单

• 全局搜
  1. txm_module_manager_*_load

  复制代码
  ，改成
  1. _ext

  复制代码
  版本并传入镜像长度。
• 全局搜
  1. tx_trace_buffer_full_notify

  复制代码
  ，模块侧的注册全部删掉。
• 检查有没有模块间直接操作对方回调队列或线程的代码，改共享同步对象（信号量 / 事件标志 / 消息队列）。
• DTLS 服务端：调
  1. nx_secure_dtls_server_cookie_secret_set

  复制代码
  注入密钥；确认
  1. NX_SECURE_DTLS_COOKIE_LENGTH

  复制代码
  在 17~255。
• FTP 服务端：确认是否依赖 FXP；依赖就暂时不能升这一版，或者改架构。
• FTP 客户端：回归测试 NAT / 多宿主 / 双栈环境下的被动模式下载。
• PPP（如果有）：用畸形 IPCP 选项做一次拒绝服务回归。
  

六、下载

1. 
   
2. ThreadX   https://github.com/eclipse-threadx/threadx/releases/tag/v6.5.2.202603b_rel
   
3. NetX Duo  https://github.com/eclipse-threadx/netxduo/releases/tag/v6.5.2.202603b_rel
   

复制代码

两个 tag 都附带用户手册 PDF（A4 / US Letter）。

七、两点提醒

• 官方明说这批修复没有在硬件上跑过。PendSV 那条（就是 CVE-2026-115653）是在 QEMU 上通过模块执行 harness 验证的，其余靠模拟器。上产品前自己再过一遍，别把 release notes 当验收报告。
• 每个修复都带一个"撤掉修复就失败"的回归测试。这一点值得肯定——比只发个补丁号强。