CVE-2026-14697
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W podsystemie IPv6 stosu Zephyr (subsys/net/ip/ipv6_nbr.c) funkcja net_ipv6_send_ns() przydziela pakiet sieciowy dla Neighbor Solicitation. Gdy jest wywoływana z pakietem danych oczekującym na nierozwiązanego sąsiada i kolejka oczekujących jest już niepusta, funkcja dodaje pakiet danych i wraca wcześniej, bez wysłania NS przez net_send_data() ani zwolnienia go przez net_pkt_unref(). Nowo przydzielony pakiet NS i jego bufory TX są trzymane tylko przez zmienną lokalną i wyciekają trwale, nigdy nie wracając do CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT.
Ocena ryzyka
Atakujący w sieci lokalnej może celowo wywołać wyciek pakietów TX, wyczerpując pulę pakietów transmisyjnych (domyślnie tylko 4, dla Ethernetu 14). Po wyczerpaniu urządzenie nie może wysyłać żadnych pakietów (TCP/UDP, ARP/ND, odpowiedzi), co prowadzi do całkowitej i trwałej odmowy usługi (DoS), która nie ustępuje aż do restartu.
Rekomendacja
Należy natychmiast zastosować poprawkę, która zwalnia niewysłany pakiet NS przez net_pkt_unref(pkt) przed wczesnym powrotem. Jeśli poprawka nie jest dostępna, ogranicz zaufanie do sieci lokalnej i monitoruj wykorzystanie puli pakietów TX.
Inne podatności w Zephyr
Zobacz wszystkie- CVE-2026-10772Nieznane
To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.
- CVE-2026-10676Nieznane
Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.
- CVE-2026-5067Krytyczne
System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.
- CVE-2026-15890Średnie
Podatność w module PSA Internal Trusted Storage w Zephyrze dotyczy braku synchronizacji w generowaniu nonce dla szyfrowania AEAD. Funkcja secure_storage_its_transform_aead_get_nonce() używa statycznych zmiennych lokalnych bez blokady, co przy równoczesnych zapisach do tego samego UID może prowadzić do ponownego użycia nonce z tym samym kluczem. To powoduje katastrofalną awarię szyfrowania, umożliwiając wyciek danych i fałszowanie wpisów.
- CVE-2026-17050Średnie
Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.
- CVE-2026-16515Średnie
Funkcja net_icmpv6_send_error() w stosie sieciowym Zephyr implementowała tylko jedną z trzech reguł tłumienia z RFC 4443 sekcja 2.4, przez co nie sprawdzała, czy źródło pakietu wskazuje pojedynczy węzeł ani czy pakiet był wysłany na adres multicast. Nieuwierzytelniony atakujący w tej samej sieci może wysłać jeden pakiet IPv6 na adres ff02::1 ze sfałszowanym źródłem ofiary, powodując, że wszystkie węzły Zephyr wyślą komunikaty ICMPv6 Parameter Problem do ofiary (refleksja z amplifikacją), albo wysłać pakiet unicast z adresem źródłowym multicast, co zamienia go w zalewający łącze ramkę multicast.
- CVE-2026-15924Średnie
W warstwie gniazd TLS systemu Zephyr (subsys/net/lib/sockets/sockets_tls.c) globalna tablica buforów sesji klienta (client_cache) jest współdzielona przez wszystkie gniazda TLS, a dostęp do niej był synchronizowany jedynie mutexem pojedynczego gniazda (ctx->lock). Przy domyślnym ustawieniu CONFIG_NET_SOCKETS_TLS_MAX_CLIENT_SESSION_COUNT równego 1 dwa równoległe gniazda klienta korzystają z tego samego slotu, co prowadzi do use-after-free przy odczycie oraz double-free przy dwóch zapisach evictujących ten sam wpis. Błąd powoduje uszkodzenie sterty mbedTLS, a naprawa wprowadza dedykowany mutex session_cache_lock obejmujący wszystkie operacje na client_cache.
- CVE-2026-15923Średnie
Podsystem SDIO w Zephyr OS zawiera podatność w funkcji sdio_io_rw_extended_helper(), gdzie wartość func->cis.max_blk_size jest dekodowana z karty SDIO bez walidacji. Jeśli karta zgłasza maksymalny rozmiar bloku równy zero, pętla transferu nigdy się nie kończy, powodując zawieszenie wątku i trwałe zablokowanie mutexu, co prowadzi do odmowy usługi dla peryferium SDIO.
- CVE-2026-15460Średnie
Podatność w stosie Bluetooth Classic (BR/EDR) w Zephyr RTOS dotyczy handlera L2CAP, który przetwarza przychodzące pakiety danych na podstawie samego identyfikatora kanału (CID), bez sprawdzania, czy kanał osiągnął stan połączenia (BT_L2CAP_CONNECTED). Atakujący w zasięgu radiowym może wysłać dane na kanał w trakcie nawiązywania połączenia, zanim konfiguracja i uwierzytelnienie zostaną zakończone. Może to prowadzić do dostarczenia danych do górnych warstw na niedomkniętym kanale, a także do użycia nieaktualnych lub częściowo zainicjalizowanych danych kanału, co skutkuje przerwaniem połączenia (DoS) lub potencjalnie wiszącym wskaźnikiem.
- CVE-2026-13735Niskie
Implementacja WireGuard w Zephyrze błędnie obsługiwała pakiety keepalive. Wiadomość typu 4 z 16-bajtowym ładunkiem (pusty tekst jawny i tag Poly1305) była akceptowana bez weryfikacji tagu uwierzytelniającego, ponieważ funkcja wg_process_data_message() zwracała wynik przed wywołaniem wg_decrypt_packet(). Atakujący mógł wysłać fałszywy keepalive, nie znając klucza sesji.
Oryginalny opis (angielski, źródło NVD)
net_ipv6_send_ns() in subsys/net/ip/ipv6_nbr.c allocates a transmit net_pkt for a Neighbor Solicitation. When it is called with a data packet pending on an unresolved neighbor and that neighbor's pending_queue is already non-empty (an NS is already outstanding), the function appends the data packet and returns early without ever sending the NS via net_send_data() or releasing it with net_pkt_unref(). The freshly allocated NS net_pkt and its attached TX buffers are held only by a local variable and are leaked permanently, never returning to CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT. The leaking branch sits on the normal IPv6 transmit path: net_ipv6_prepare_for_send() (called from net_if.c) invokes net_ipv6_send_ns() for any outbound or forwarded IPv6 packet whose next hop is not yet in the neighbor cache. An on-link (adjacent) attacker can drive it deterministically by sending a burst of request packets (for example ICMPv6 echo requests or UDP datagrams) that all spoof a single non-existent on-link source address: the node generates a reply to each, the first reply queues an NS, and every subsequent reply during the roughly three-second INCOMPLETE resolution window takes the leaking branch and loses one TX packet. Router-configured nodes forwarding attacker traffic toward a non-existent on-link host leak identically. Because the leaked packets are never reclaimed and CONFIG_NET_PKT_TX_COUNT defaults to only 4 (14 for Ethernet), a brief low-rate burst exhausts the TX pool. Once exhausted the node can no longer allocate any transmit packet and cannot send TCP/UDP, ARP/ND, or any reply at all, producing a complete and persistent network denial of service that does not self-heal until reboot. The fix releases the unsent NS packet with net_pkt_unref(pkt) before the early return.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS