CVE-2026-12234
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Weryfikatory wywołań systemowych w przestrzeni użytkownika z_vrfy_zsock_sendmsg() i z_vrfy_zsock_recvmsg() w subsys/net/lib/sockets/sockets.c kopiują strukturę net_msghdr do kopii po stronie jądra, ale następnie ponownie odczytują oryginalną strukturę użytkownika. Podwójny odczyt (double-fetch) umożliwia atakującemu wątek w tym samym obszarze pamięci zwiększenie msg->msg_iovlen w oknie czasowym, co prowadzi do zapisu poza przydzielony bufor w jądrze. Może to prowadzić do eskalacji uprawnień lub awarii jądra.
Ocena ryzyka
Lokalna eskalacja uprawnień lub atak DoS na jądro, co może naruszyć integralność systemu i dostępność.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta systemu operacyjnego, które naprawiają problem podwójnego odczytu i zapewniają atomowe kopiowanie wpisów iovec.
Inne podatności w Zephyr
Zobacz wszystkie- CVE-2026-19673Wysokie
Podatność w funkcji ethernet_recv() w subsys/net/l2/ethernet/ethernet.c w stosie sieciowym Zephyr. Gdy ethertype to 0x8100, a na interfejsie włączony jest VLAN, bufor odbieranej ramki jest reinterpretowany jako 18-bajtowa struktura net_eth_vlan_hdr bez ponownego sprawdzenia długości, co powoduje odczyt poza buforem i podniesienie hdr_len do 18. Pojedyncza nieuwierzytelniona ramka o długości 14-17 bajtów z ethertype 0x8100 wyzwala błąd.
- CVE-2026-10772Nieznane
To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.
- CVE-2026-10676Nieznane
Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.
- CVE-2026-5067Krytyczne
System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.
- CVE-2026-19935Wysokie
Podatność w stosie Bluetooth LE Zephyr pozwala zdalnemu, nieuwierzytelnionemu atakującemu na użycie po zwolnieniu (use-after-free) w obsłudze kanałów L2CAP CoC z dynamicznym PSM. Wysyłając ramkę danych, a następnie żądanie rozłączenia, atakujący może spowodować, że kolejka pracy systemu przetworzy pracę wskazującą na zwolniony kanał, co prowadzi do naruszenia pamięci lub uszkodzenia kolejki pracy.
- CVE-2026-19740Średnie
Implementacja procedury LLCP w kontrolerze Bluetooth LE Zephyra zatrzymuje węzeł odbiorczy po akceptacji LL_PHY_UPDATE_IND, ale ścieżki obsługi nieprawidłowych PDU nie zwalniają tego węzła przed zakończeniem procedury. Atakujący z zasięgu radiowego może wysłać sekwencję PDU, która powoduje naruszenie asercji (awarię urządzenia) lub wyciek węzłów z puli odbiorczej, prowadząc do niedostępności Bluetooth do czasu restartu.
- CVE-2026-19669Wysokie
Podatność w mechanizmie weryfikacji wywołań systemowych Zephyra (z_vrfy_fuel_gauge_get_props() i z_vrfy_fuel_gauge_set_props()) polega na alokacji tablic o zmiennym rozmiarze (VLA) na stosie jądra na podstawie niezwalidowanego argumentu len pochodzącego od użytkownika. Brak sprawdzenia zakresu przed alokacją i kopiowaniem pozwala wątkowi w trybie użytkownika (CONFIG_USERSPACE) na zapis poza zakresem w trybie nadzorcy z kontrolowaną przez atakującego długością i zawartością danych.
- CVE-2026-19577Wysokie
W podsystemie IPv6 stosu Zephyr stwierdzono podatność na odczyt poza zakresem pamięci w funkcji net_route_ipv6_packet(). Problem wynika z braku sprawdzenia, czy wpis w pamięci podręcznej sąsiadów (neighbor cache) posiada adres warstwy łącza, zanim zostanie on użyty. Atakujący z tej samej sieci może wymusić stan nierozwiązanego sąsiada i doprowadzić do odczytu pamięci poza tablicą adresów, co może skutkować awarią systemu (panic) lub wyciekiem danych.
- CVE-2026-19186Wysokie
W stosie IEEE 802.15.4 w Zephyrze funkcja ieee802154_decipher_data_frame() nie sprawdza, czy ramka jest wystarczająco długa, zanim obliczy długość danych. Odejmowanie długości nagłówka i tagu uwierzytelniającego od długości ramki może się zawinąć (underflow), co prowadzi do odczytu i zapisu poza buforem pakietu. Atakujący w zasięgu radiowym może wysłać krótką ramkę, powodując uszkodzenie pamięci i awarię systemu.
- CVE-2026-18415Średnie
W funkcji ieee802154_send() w stosie sieciowym Zephyr pakiet wychodzący jest kopiowany do stałego bufora nadawczego o rozmiarze 125 bajtów bez sprawdzenia długości. Gdy włączona jest fragmentacja 6LoWPAN, ale fragmentacja nie jest wymagana, brak weryfikacji rozmiaru pozwala na zapis poza buforem. Luka jest osiągalna przez gniazda NET_AF_PACKET powiązane z interfejsem 802.15.4, w tym przez nieuprzywilejowany wątek aplikacji w buildach CONFIG_USERSPACE.
Oryginalny opis (angielski, źródło NVD)
The userspace syscall verifiers z_vrfy_zsock_sendmsg() and z_vrfy_zsock_recvmsg() in subsys/net/lib/sockets/sockets.c snapshot the caller-supplied struct net_msghdr into a kernel-side copy with k_usermode_from_copy(), but then re-read the still-live user struct for subsequent decisions. The kernel iovec shadow buffer is sized from one read of msg->msg_iovlen, while the population loop is bounded by a second, live read of the same field. Because msg points into ordinary user memory, a cooperating second thread in the same memory domain can inflate msg->msg_iovlen in the window between the sizing read and the loop test (a classic double-fetch / TOCTOU). The population loop then iterates past the number of net_iovec slots actually allocated, writing attacker-influenced iov_base/iov_len values beyond the end of the kernel-heap shadow buffer. The recvmsg verifier has the same defect on both its inbound and result write-back loops. The code is reachable from an unprivileged user thread whenever CONFIG_USERSPACE is enabled and the zsock_sendmsg/zsock_recvmsg syscalls are available. A successful race corrupts kernel-managed heap memory across the user-to-kernel privilege boundary, yielding a local privilege-escalation primitive or, at minimum, a kernel-fault denial of service. The fix copies the header once and derives every size, bound, and gate from the snapshot, copying each iovec entry atomically so its base and length can no longer be raced apart.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS