SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-18418

NiskieCVSS 3.4
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W podsystemie Zephyr zbus, w backendzie IPC agenta proxy (subsys/zbus/proxy_agent/zbus_proxy_agent_ipc.c), nazwa kanału odrzuconej ramki między domenami była logowana ze specyfikatorem %s bez zapewnienia zakończenia bufora znakiem NUL. Ramka struct zbus_proxy_msg zawiera tablicę channel_name[] o stałym rozmiarze jako ostatni element, a jedyny kod weryfikujący jej zakończenie odrzuca właśnie takie ramki — więc ostrzeżenie wypisywało niezakończony bufor dokładnie na ścieżkach błędów. Każdy peer domain mogący wysłać ramkę o rozmiarze sizeof(struct zbus_proxy_msg) na endpoint ipc_service może to wywołać.

Ocena ryzyka

Luka pozwala ujawnić niewielką ilość sąsiadującej pamięci (stos wątku kolejki roboczej IPC lub pamięć współdzielonego vring) do logów domeny odbierającej, a w skrajnym przypadku może spowodować krytyczne uszkodzenie, jeśli skanowanie wykroczy poza zmapowany obszar. Wymaga włączonego CONFIG_ZBUS_PROXY_AGENT_IPC, logowania na poziomie warning lub wyższym oraz kontroli nad firmware domeny nadającej (typowo drugi rdzeń w tym samym SoC).

Rekomendacja

Zaktualizować Zephyr do wersji zawierającej poprawkę ograniczającą konwersję za pomocą %.*s i MIN(msg->channel_name_len, sizeof(msg->channel_name)). Do czasu wdrożenia poprawki rozważyć wyłączenie CONFIG_ZBUS_PROXY_AGENT_IPC lub podniesienie progu logowania powyżej poziomu warning na urządzeniach z niezaufanymi domenami nadającymi.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The zbus proxy agent IPC backend in subsys/zbus/proxy_agent/zbus_proxy_agent_ipc.c logged the channel name of a rejected inter-domain frame with a plain %s conversion. The frame type struct zbus_proxy_msg carries a fixed-size channel_name[] array as its last member, and nothing in the transport guarantees the array is NUL-terminated. The only code that verifies termination is zbus_proxy_agent_receive_cb() in subsys/zbus/proxy_agent/zbus_proxy_agent.c, which rejects the frame in precisely those cases — so the warning printed a non-terminated buffer exactly on the error paths where the name had been found invalid (or, for an invalid message_size, had not been inspected at all). Any peer domain able to place a frame of sizeof(struct zbus_proxy_msg) bytes on the bound ipc_service endpoint can trigger it, by sending a frame with an out-of-range message_size or with channel_name[] containing no NUL byte. Reaching the code requires CONFIG_ZBUS_PROXY_AGENT_IPC and logging built at warning level or above (the default), and requires control over the firmware of the peer domain — typically a second core on the same SoC. The resulting strlen() inside the log packager walks past the end of the frame object until it finds a zero byte. With the icmsg backend the frame lives in a stack buffer of the IPC work-queue thread, so bytes of that thread's stack are rendered into the log message; with the rpmsg backends the scan continues through the shared vring memory. Impact is bounded to disclosure of a small amount of adjacent memory into the receiving domain's log sink, plus a possible fatal fault if the scan leaves a mapped region; the log packager's own -ENOSPC bound prevents the overrun from becoming a write. The fix bounds the conversion with %.*s and MIN(msg->channel_name_len, sizeof(msg->channel_name)).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS