CVE-2026-18415
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W funkcji ieee802154_send() w stosie sieciowym Zephyr pakiet wychodzący jest kopiowany do stałego bufora nadawczego o rozmiarze 125 bajtów bez sprawdzenia długości. Gdy włączona jest fragmentacja 6LoWPAN, ale fragmentacja nie jest wymagana, brak weryfikacji rozmiaru pozwala na zapis poza buforem. Luka jest osiągalna przez gniazda NET_AF_PACKET powiązane z interfejsem 802.15.4, w tym przez nieuprzywilejowany wątek aplikacji w buildach CONFIG_USERSPACE.
Ocena ryzyka
Aplikacja lub nieuprzywilejowany wątek może wywołać zapis poza buforem w trybie supervisora, uszkadzając pamięć przylegającą do puli buforów. W praktyce prowadzi to do awarii lub dalszej kompromitacji stanu jądra systemu.
Rekomendacja
Zaktualizuj Zephyr do wersji zawierającej poprawkę, która waliduje ll_hdr_len + net_pkt_get_len(pkt) + authtag_len względem IEEE802154_MTU przed kopiowaniem i zwraca -EMSGSIZE zamiast przekroczenia bufora. Do czasu aktualizacji ogranicz dostęp do gniazd NET_AF_PACKET na interfejsach 802.15.4 lub wyłącz CONFIG_NET_L2_IEEE802154_FRAGMENT, jeśli to możliwe.
Inne podatności w Zephyr
Zobacz wszystkie- CVE-2026-10772Nieznane
To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.
- CVE-2026-10676Nieznane
Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.
- CVE-2026-5067Krytyczne
System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.
- CVE-2026-15890Średnie
Podatność w module PSA Internal Trusted Storage w Zephyrze dotyczy braku synchronizacji w generowaniu nonce dla szyfrowania AEAD. Funkcja secure_storage_its_transform_aead_get_nonce() używa statycznych zmiennych lokalnych bez blokady, co przy równoczesnych zapisach do tego samego UID może prowadzić do ponownego użycia nonce z tym samym kluczem. To powoduje katastrofalną awarię szyfrowania, umożliwiając wyciek danych i fałszowanie wpisów.
- CVE-2026-17050Średnie
Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.
- CVE-2026-16515Średnie
Funkcja net_icmpv6_send_error() w stosie sieciowym Zephyr implementowała tylko jedną z trzech reguł tłumienia z RFC 4443 sekcja 2.4, przez co nie sprawdzała, czy źródło pakietu wskazuje pojedynczy węzeł ani czy pakiet był wysłany na adres multicast. Nieuwierzytelniony atakujący w tej samej sieci może wysłać jeden pakiet IPv6 na adres ff02::1 ze sfałszowanym źródłem ofiary, powodując, że wszystkie węzły Zephyr wyślą komunikaty ICMPv6 Parameter Problem do ofiary (refleksja z amplifikacją), albo wysłać pakiet unicast z adresem źródłowym multicast, co zamienia go w zalewający łącze ramkę multicast.
- CVE-2026-15924Średnie
W warstwie gniazd TLS systemu Zephyr (subsys/net/lib/sockets/sockets_tls.c) globalna tablica buforów sesji klienta (client_cache) jest współdzielona przez wszystkie gniazda TLS, a dostęp do niej był synchronizowany jedynie mutexem pojedynczego gniazda (ctx->lock). Przy domyślnym ustawieniu CONFIG_NET_SOCKETS_TLS_MAX_CLIENT_SESSION_COUNT równego 1 dwa równoległe gniazda klienta korzystają z tego samego slotu, co prowadzi do use-after-free przy odczycie oraz double-free przy dwóch zapisach evictujących ten sam wpis. Błąd powoduje uszkodzenie sterty mbedTLS, a naprawa wprowadza dedykowany mutex session_cache_lock obejmujący wszystkie operacje na client_cache.
- CVE-2026-15923Średnie
Podsystem SDIO w Zephyr OS zawiera podatność w funkcji sdio_io_rw_extended_helper(), gdzie wartość func->cis.max_blk_size jest dekodowana z karty SDIO bez walidacji. Jeśli karta zgłasza maksymalny rozmiar bloku równy zero, pętla transferu nigdy się nie kończy, powodując zawieszenie wątku i trwałe zablokowanie mutexu, co prowadzi do odmowy usługi dla peryferium SDIO.
- CVE-2026-15460Średnie
Podatność w stosie Bluetooth Classic (BR/EDR) w Zephyr RTOS dotyczy handlera L2CAP, który przetwarza przychodzące pakiety danych na podstawie samego identyfikatora kanału (CID), bez sprawdzania, czy kanał osiągnął stan połączenia (BT_L2CAP_CONNECTED). Atakujący w zasięgu radiowym może wysłać dane na kanał w trakcie nawiązywania połączenia, zanim konfiguracja i uwierzytelnienie zostaną zakończone. Może to prowadzić do dostarczenia danych do górnych warstw na niedomkniętym kanale, a także do użycia nieaktualnych lub częściowo zainicjalizowanych danych kanału, co skutkuje przerwaniem połączenia (DoS) lub potencjalnie wiszącym wskaźnikiem.
- CVE-2026-14697Średnie
W podsystemie IPv6 stosu Zephyr (subsys/net/ip/ipv6_nbr.c) funkcja net_ipv6_send_ns() przydziela pakiet sieciowy dla Neighbor Solicitation. Gdy jest wywoływana z pakietem danych oczekującym na nierozwiązanego sąsiada i kolejka oczekujących jest już niepusta, funkcja dodaje pakiet danych i wraca wcześniej, bez wysłania NS przez net_send_data() ani zwolnienia go przez net_pkt_unref(). Nowo przydzielony pakiet NS i jego bufory TX są trzymane tylko przez zmienną lokalną i wyciekają trwale, nigdy nie wracając do CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT.
Oryginalny opis (angielski, źródło NVD)
ieee802154_send() in subsys/net/l2/ieee802154/ieee802154.c copies the outgoing packet into a single fixed 125-byte transmit buffer (tx_frame_buf_pool, sized IEEE802154_MTU). In builds with CONFIG_NET_L2_IEEE802154_FRAGMENT enabled (the default whenever CONFIG_NET_6LO is set), the branch taken when 6LoWPAN fragmentation is not required performed an unchecked net_buf_add_mem(frame_buf, pkt_buf->data, pkt_buf->len). The only guard was __ASSERT_NO_MSG() inside net_buf_simple_add(), which is compiled out without CONFIG_ASSERT, so an oversized packet silently overran the frame buffer. The defect is not reachable from the radio: for NET_AF_INET6 packets ieee802154_6lo_encode_pkt() compares the whole packet length against IEEE802154_MTU and takes the fragmentation path when it does not fit, so every buffer copied on the unfragmented branch is within bounds. It is reachable through NET_AF_PACKET sockets bound to an 802.15.4 interface: for NET_SOCK_RAW the 6LoWPAN block is skipped entirely and for NET_SOCK_DGRAM it returns early on the address-family test, leaving no length validation anywhere on the transmit path (net_context_sendto() and net_if_tx() apply none, and pkt_buffer_length() does not clamp the allocation for this L2). An application — or, in a CONFIG_USERSPACE build, an unprivileged application thread using the zsock_socket()/zsock_sendto() syscalls — can therefore drive a supervisor-mode out-of-bounds write of chosen bytes past the 125-byte pool buffer. With the default CONFIG_NET_BUF_FIXED_DATA_SIZE of 128 bytes the overrun is bounded to roughly ll_hdr_len + 3 bytes; with CONFIG_NET_BUF_VARIABLE_DATA_SIZE a single storage buffer can be as large as CONFIG_NET_PKT_BUF_TX_DATA_POOL_SIZE, making the overrun far larger. The consequence is corruption of memory adjacent to the pool, with a crash or further compromise of kernel state as the practical impact. The fix validates ll_hdr_len + net_pkt_get_len(pkt) + authtag_len against IEEE802154_MTU before any copy and adds a tailroom-checking copy_pkt_to_frame() helper that returns -EMSGSIZE instead of overrunning the buffer. The same change also linearizes the whole net_buf chain into one MAC frame, so packet storage boundaries no longer become frame boundaries on the wire.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS