CVE-2026-8718
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Podatność w funkcji tls_opt_dtls_peer_connection_id_value_get() w Zephyr (subsys/net/lib/sockets/sockets_tls.c) powoduje zapis poza zakresem w jądrze systemu. Funkcja przekazuje optval od wywołującego bezpośrednio do mbedtls_ssl_get_peer_cid() bez sprawdzenia, czy bufor ma co najmniej MBEDTLS_SSL_CID_OUT_LEN_MAX (domyślnie 32) bajty. W buildach z CONFIG_USERSPACE nieuprzywilejowany wątek może wywołać przepełnienie bufora w jądrze, jeśli przekaże mały optlen na połączonym gnieździe DTLS z włączonym Connection ID.
Ocena ryzyka
Nieuprzywilejowany użytkownik może spowodować przepełnienie bufora w jądrze, co może prowadzić do naruszenia stabilności systemu lub eskalacji uprawnień.
Rekomendacja
Zaleca się zastosowanie poprawki, która odrzuca wywołania z optlen mniejszym niż MBEDTLS_SSL_CID_OUT_LEN_MAX, oraz aktualizację systemu do wersji z poprawką.
Oryginalny opis (angielski, źródło NVD)
tls_opt_dtls_peer_connection_id_value_get() in subsys/net/lib/sockets/sockets_tls.c, which handles getsockopt(SOL_TLS, TLS_DTLS_PEER_CID_VALUE), passed the caller-supplied optval directly to mbedtls_ssl_get_peer_cid() without verifying the buffer was at least MBEDTLS_SSL_CID_OUT_LEN_MAX (default 32) bytes. mbedtls_ssl_get_peer_cid() copies the peer-negotiated DTLS Connection ID (length 1..MBEDTLS_SSL_CID_OUT_LEN_MAX) into that buffer without a destination-size parameter, so a caller-supplied optlen smaller than the CID causes a write of up to 31 bytes past the buffer end. In CONFIG_USERSPACE builds the getsockopt syscall verifier (z_vrfy_zsock_getsockopt) bounce-buffers the user's optval into a kernel allocation of exactly optlen bytes (k_usermode_alloc_from_copy -> z_thread_malloc), so an unprivileged user thread that passes a small optlen on a connected DTLS socket with Connection ID enabled induces a kernel-heap buffer overflow, with the overflowing content being the remote peer's CID. The defect requires CONFIG_MBEDTLS_SSL_DTLS_CONNECTION_ID, an established DTLS session with a negotiated peer CID, and (for the kernel-crossing case) CONFIG_USERSPACE. Introduced when the TLS_DTLS_CID option was added (v3.5.0). The fix rejects callers whose optlen is below MBEDTLS_SSL_CID_OUT_LEN_MAX with -EINVAL.