CVE-2026-90585

ŚrednieCVSS 4.6

Opublikowano: 09/11/2026(UTC)Zaktualizowano: 09/11/2026(UTC)Przetłumaczono: 10/11/2026(UTC)NVD NIST

Streszczenie

Sterownik UART SCI Renesas RA w Zephyr nie potwierdza warunku błędu odbioru w procedurze obsługi przerwania uart_ra_sci_eri_isr(), gdy nie zarejestrowano callbacku (data->user_cb jest NULL). Flagi błędów SCI pozostają ustawione, a flaga przerwania ICU nie jest czyszczona, co powoduje natychmiastowe ponowne wejście w ISR w nieskończonej pętli. Problem występuje przy CONFIG_UART_INTERRUPT_DRIVEN=y i CONFIG_UART_ASYNC_API=n, gdy przerwanie błędu zostanie odmaskowane przez uart_configure() lub uart_irq_err_enable().

Ocena ryzyka

Zwykły błąd linii odbioru (overrun, framing, parity lub break) wywołany przez urządzenie po drugiej stronie łącza zawiesza cały system, ponieważ CPU pozostaje uwięziony w wielokrotnie wchodzącym ISR i nie wraca do kontekstu wątku. Wpływa to wyłącznie na dostępność — wymagany jest zewnętrzny reset lub watchdog sprzętowy; brak korupcji pamięci i wycieku informacji.

Rekomendacja

Zaktualizować Zephyr do wersji zawierającej poprawkę sterownika uart_renesas_ra_sci, która potwierdza warunek błędu i czyści flagi przerwania niezależnie od zarejestrowania callbacku. Do czasu aktualizacji unikać wywołań uart_configure() i uart_irq_err_enable() na instancjach używanych w trybie odpytywania lub bez ustawionego callbacku.

Inne podatności w Zephyr RTOS

Zobacz wszystkie

Oryginalny opis (angielski, źródło NVD)

The Renesas RA SCI UART driver's receive-error ISR, uart_ra_sci_eri_isr() in drivers/serial/uart_renesas_ra_sci.c, acknowledged the error condition only when a Zephyr interrupt-driven callback had already been registered. With CONFIG_UART_INTERRUPT_DRIVEN=y and CONFIG_UART_ASYNC_API=n, if data->user_cb is NULL the ISR body is empty: the SCI error flags (SSR.ORER, SSR.FER, SSR.PER) are left set and the ICU event flag R_ICU->IELSR_b[eri_irq].IR is never cleared, so the interrupt re-pends immediately and the ISR is re-entered without end. The error interrupt is masked at boot by uart_ra_sci_init(), but FSP's R_SCI_UART_Open() unconditionally re-enables it, and uart_ra_sci_configure() - the back end of the public uart_configure() API, enabled by default via CONFIG_UART_USE_RUNTIME_CONFIGURE - performs a Close()/Open() pair without re-masking it. Any runtime uart_configure() therefore leaves the error interrupt live regardless of whether a callback has been set, as does calling uart_irq_err_enable() on its own. An instance used with the polling API, or the window between uart_configure() and uart_irq_callback_user_data_set(), thus runs with the error interrupt unmasked and no callback registered. The trigger is an ordinary receive line error - overrun, framing, parity, or a break condition - which is fully determined by the device attached to the serial link. A peer able to assert a break or transmit at a mismatched baud rate produces such an error at will, so a single frame is enough to enter the state. The impact is availability only: the CPU is captured in the re-entering ISR and never returns to thread context, hanging the entire system until an external reset or hardware watchdog fires. There is no memory corruption or information disclosure. Builds using the asynchronous UART API are unaffected, because the fall-through to FSP's sci_uart_eri_isr() clears both the error flags and the pending IRQ.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS