CVE-2026-15923
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podsystem SDIO w Zephyr OS zawiera podatność w funkcji sdio_io_rw_extended_helper(), gdzie wartość func->cis.max_blk_size jest dekodowana z karty SDIO bez walidacji. Jeśli karta zgłasza maksymalny rozmiar bloku równy zero, pętla transferu nigdy się nie kończy, powodując zawieszenie wątku i trwałe zablokowanie mutexu, co prowadzi do odmowy usługi dla peryferium SDIO.
Ocena ryzyka
Atak fizyczny polegający na włożeniu złośliwej lub uszkodzonej karty SDIO może spowodować trwałą odmowę usługi dla podsystemu SDIO, w tym zależnych od niego funkcji, takich jak Wi-Fi, aż do resetu urządzenia.
Rekomendacja
Zastosuj poprawkę, która zwraca błąd -EIO, gdy func->cis.max_blk_size jest równe zero, przed wejściem do pętli transferu.
Inne podatności w Zephyr
Zobacz wszystkie- CVE-2026-10772Nieznane
To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.
- CVE-2026-10676Nieznane
Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.
- CVE-2026-5067Krytyczne
System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.
- CVE-2026-15890Średnie
Podatność w module PSA Internal Trusted Storage w Zephyrze dotyczy braku synchronizacji w generowaniu nonce dla szyfrowania AEAD. Funkcja secure_storage_its_transform_aead_get_nonce() używa statycznych zmiennych lokalnych bez blokady, co przy równoczesnych zapisach do tego samego UID może prowadzić do ponownego użycia nonce z tym samym kluczem. To powoduje katastrofalną awarię szyfrowania, umożliwiając wyciek danych i fałszowanie wpisów.
- CVE-2026-17050Średnie
Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.
- CVE-2026-16515Średnie
Funkcja net_icmpv6_send_error() w stosie sieciowym Zephyr implementowała tylko jedną z trzech reguł tłumienia z RFC 4443 sekcja 2.4, przez co nie sprawdzała, czy źródło pakietu wskazuje pojedynczy węzeł ani czy pakiet był wysłany na adres multicast. Nieuwierzytelniony atakujący w tej samej sieci może wysłać jeden pakiet IPv6 na adres ff02::1 ze sfałszowanym źródłem ofiary, powodując, że wszystkie węzły Zephyr wyślą komunikaty ICMPv6 Parameter Problem do ofiary (refleksja z amplifikacją), albo wysłać pakiet unicast z adresem źródłowym multicast, co zamienia go w zalewający łącze ramkę multicast.
- CVE-2026-15924Średnie
W warstwie gniazd TLS systemu Zephyr (subsys/net/lib/sockets/sockets_tls.c) globalna tablica buforów sesji klienta (client_cache) jest współdzielona przez wszystkie gniazda TLS, a dostęp do niej był synchronizowany jedynie mutexem pojedynczego gniazda (ctx->lock). Przy domyślnym ustawieniu CONFIG_NET_SOCKETS_TLS_MAX_CLIENT_SESSION_COUNT równego 1 dwa równoległe gniazda klienta korzystają z tego samego slotu, co prowadzi do use-after-free przy odczycie oraz double-free przy dwóch zapisach evictujących ten sam wpis. Błąd powoduje uszkodzenie sterty mbedTLS, a naprawa wprowadza dedykowany mutex session_cache_lock obejmujący wszystkie operacje na client_cache.
- CVE-2026-15460Średnie
Podatność w stosie Bluetooth Classic (BR/EDR) w Zephyr RTOS dotyczy handlera L2CAP, który przetwarza przychodzące pakiety danych na podstawie samego identyfikatora kanału (CID), bez sprawdzania, czy kanał osiągnął stan połączenia (BT_L2CAP_CONNECTED). Atakujący w zasięgu radiowym może wysłać dane na kanał w trakcie nawiązywania połączenia, zanim konfiguracja i uwierzytelnienie zostaną zakończone. Może to prowadzić do dostarczenia danych do górnych warstw na niedomkniętym kanale, a także do użycia nieaktualnych lub częściowo zainicjalizowanych danych kanału, co skutkuje przerwaniem połączenia (DoS) lub potencjalnie wiszącym wskaźnikiem.
- CVE-2026-14697Średnie
W podsystemie IPv6 stosu Zephyr (subsys/net/ip/ipv6_nbr.c) funkcja net_ipv6_send_ns() przydziela pakiet sieciowy dla Neighbor Solicitation. Gdy jest wywoływana z pakietem danych oczekującym na nierozwiązanego sąsiada i kolejka oczekujących jest już niepusta, funkcja dodaje pakiet danych i wraca wcześniej, bez wysłania NS przez net_send_data() ani zwolnienia go przez net_pkt_unref(). Nowo przydzielony pakiet NS i jego bufory TX są trzymane tylko przez zmienną lokalną i wyciekają trwale, nigdy nie wracając do CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT.
- CVE-2026-13735Niskie
Implementacja WireGuard w Zephyrze błędnie obsługiwała pakiety keepalive. Wiadomość typu 4 z 16-bajtowym ładunkiem (pusty tekst jawny i tag Poly1305) była akceptowana bez weryfikacji tagu uwierzytelniającego, ponieważ funkcja wg_process_data_message() zwracała wynik przed wywołaniem wg_decrypt_packet(). Atakujący mógł wysłać fałszywy keepalive, nie znając klucza sesji.
Oryginalny opis (angielski, źródło NVD)
The Zephyr SDIO subsystem function sdio_io_rw_extended_helper() in subsys/sd/sdio.c finishes transfers with a byte-I/O loop that uses size = MIN(remaining, func->cis.max_blk_size) as the per-iteration step. The value func->cis.max_blk_size is decoded directly from the SDIO card's CIS FUNCE tuple in sdio_decode_cis() and is not validated. When a card reports a maximum block size of zero, size is always 0, remaining never decreases, and the loop spins forever. The loop is reached from the public SDIO client API used by drivers, including sdio_read_fifo(), sdio_write_fifo(), and the incrementing register read/write helpers, each of which enters the loop while holding the per-card mutex func->card->lock. A card advertising max_blk_size == 0 therefore hangs the calling thread permanently on its first non-block-aligned transfer and never releases the mutex, denying service to the SDIO peripheral (and any subsystem such as Wi-Fi that depends on it) until the device is reset. The malicious value must come from the SDIO card itself, so the defect is exploitable where a removable SDIO/combo card slot lets an attacker insert a crafted or malfunctioning card (a physical attack vector); on boards with a soldered SDIO peripheral it is not attacker-influenceable. There is no memory-safety, confidentiality, or integrity impact — only a permanent availability loss. The fix returns -EIO when func->cis.max_blk_size is zero, before the loop is entered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS