CVE-2026-12366
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W Zephyr OS wykryto podatność use-after-free w ścieżce usuwania dynamicznych obiektów jądra. Funkcja unref_check() zwalnia pamięć obiektu po wyzerowaniu licznika referencji, ale dla timerów (K_OBJ_TIMER) nie anuluje aktywnego timeoutu, pozostawiając wiszący węzeł w globalnej kolejce timeoutów. Po wygaśnięciu timera jądro wywołuje handler na zwolnionej pamięci, co prowadzi do zapisu do zwolnionego obszaru.
Ocena ryzyka
Podatność umożliwia nieuprzywilejowanemu wątkowi użytkownika eskalację uprawnień do poziomu jądra (sandbox escape) poprzez celowe wywołanie błędu. Atakujący może uzyskać pełną kontrolę nad systemem, wykorzystując deterministyczny błąd zapisu do zwolnionej pamięci w kontekście ISR.
Rekomendacja
Należy natychmiast zaktualizować Zephyr OS do wersji zawierającej poprawkę, która dodaje funkcję k_timer_cleanup() wywoływaną przed zwolnieniem pamięci timera. Jeśli aktualizacja nie jest możliwa, należy wyłączyć CONFIG_DYNAMIC_OBJECTS lub CONFIG_USERSPACE w konfiguracji systemu.
Inne podatności w Zephyr
Zobacz wszystkie- CVE-2026-19673Wysokie
Podatność w funkcji ethernet_recv() w subsys/net/l2/ethernet/ethernet.c w stosie sieciowym Zephyr. Gdy ethertype to 0x8100, a na interfejsie włączony jest VLAN, bufor odbieranej ramki jest reinterpretowany jako 18-bajtowa struktura net_eth_vlan_hdr bez ponownego sprawdzenia długości, co powoduje odczyt poza buforem i podniesienie hdr_len do 18. Pojedyncza nieuwierzytelniona ramka o długości 14-17 bajtów z ethertype 0x8100 wyzwala błąd.
- CVE-2026-10772Nieznane
To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.
- CVE-2026-10676Nieznane
Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.
- CVE-2026-5067Krytyczne
System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.
- CVE-2026-19935Wysokie
Podatność w stosie Bluetooth LE Zephyr pozwala zdalnemu, nieuwierzytelnionemu atakującemu na użycie po zwolnieniu (use-after-free) w obsłudze kanałów L2CAP CoC z dynamicznym PSM. Wysyłając ramkę danych, a następnie żądanie rozłączenia, atakujący może spowodować, że kolejka pracy systemu przetworzy pracę wskazującą na zwolniony kanał, co prowadzi do naruszenia pamięci lub uszkodzenia kolejki pracy.
- CVE-2026-19740Średnie
Implementacja procedury LLCP w kontrolerze Bluetooth LE Zephyra zatrzymuje węzeł odbiorczy po akceptacji LL_PHY_UPDATE_IND, ale ścieżki obsługi nieprawidłowych PDU nie zwalniają tego węzła przed zakończeniem procedury. Atakujący z zasięgu radiowego może wysłać sekwencję PDU, która powoduje naruszenie asercji (awarię urządzenia) lub wyciek węzłów z puli odbiorczej, prowadząc do niedostępności Bluetooth do czasu restartu.
- CVE-2026-19669Wysokie
Podatność w mechanizmie weryfikacji wywołań systemowych Zephyra (z_vrfy_fuel_gauge_get_props() i z_vrfy_fuel_gauge_set_props()) polega na alokacji tablic o zmiennym rozmiarze (VLA) na stosie jądra na podstawie niezwalidowanego argumentu len pochodzącego od użytkownika. Brak sprawdzenia zakresu przed alokacją i kopiowaniem pozwala wątkowi w trybie użytkownika (CONFIG_USERSPACE) na zapis poza zakresem w trybie nadzorcy z kontrolowaną przez atakującego długością i zawartością danych.
- CVE-2026-19577Wysokie
W podsystemie IPv6 stosu Zephyr stwierdzono podatność na odczyt poza zakresem pamięci w funkcji net_route_ipv6_packet(). Problem wynika z braku sprawdzenia, czy wpis w pamięci podręcznej sąsiadów (neighbor cache) posiada adres warstwy łącza, zanim zostanie on użyty. Atakujący z tej samej sieci może wymusić stan nierozwiązanego sąsiada i doprowadzić do odczytu pamięci poza tablicą adresów, co może skutkować awarią systemu (panic) lub wyciekiem danych.
- CVE-2026-19186Wysokie
W stosie IEEE 802.15.4 w Zephyrze funkcja ieee802154_decipher_data_frame() nie sprawdza, czy ramka jest wystarczająco długa, zanim obliczy długość danych. Odejmowanie długości nagłówka i tagu uwierzytelniającego od długości ramki może się zawinąć (underflow), co prowadzi do odczytu i zapisu poza buforem pakietu. Atakujący w zasięgu radiowym może wysłać krótką ramkę, powodując uszkodzenie pamięci i awarię systemu.
- CVE-2026-18415Średnie
W funkcji ieee802154_send() w stosie sieciowym Zephyr pakiet wychodzący jest kopiowany do stałego bufora nadawczego o rozmiarze 125 bajtów bez sprawdzenia długości. Gdy włączona jest fragmentacja 6LoWPAN, ale fragmentacja nie jest wymagana, brak weryfikacji rozmiaru pozwala na zapis poza buforem. Luka jest osiągalna przez gniazda NET_AF_PACKET powiązane z interfejsem 802.15.4, w tym przez nieuprzywilejowany wątek aplikacji w buildach CONFIG_USERSPACE.
Oryginalny opis (angielski, źródło NVD)
Zephyr's dynamic kernel-object disposal path unref_check() in kernel/userspace/userspace.c frees an object's storage (k_free(dyn->data)) once its reference count reaches zero, after running a per-object-type cleanup. The cleanup switch handled only K_OBJ_MSGQ and K_OBJ_STACK; there was no K_OBJ_TIMER case. A dynamically-allocated, initialized, and armed k_timer keeps its embedded struct _timeout dnode linked in the global timeout queue (_timeout_q), so freeing the timer storage without cancelling the timeout leaves a dangling node in that queue. When the timer next expires, the timeout machinery walks _timeout_q and invokes z_timer_expiration_handler() on the freed node, dereferencing and writing freed (and reusable) kernel heap in kernel/ISR context. This is a deterministic use-after-free that does not depend on SMP: the queued node is simply never unlinked at free time. The disposal is reachable from an unprivileged user thread under CONFIG_USERSPACE + CONFIG_DYNAMIC_OBJECTS: a thread that holds the last permission on such a timer drops it via the k_object_release() syscall (or by exiting, through k_thread_perms_all_clear()), and can arm the timer itself via the k_timer_start() syscall. The free and the expiration handler run at kernel privilege while the actor is a user thread, so the bug is a sandbox-escape memory-corruption primitive usable for privilege escalation. The fix adds k_timer_cleanup() (cancel the timeout and wait for any in-flight handler) and calls it for K_OBJ_TIMER before freeing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS