Podatności Zephyr

W sterowniku Bluetooth Classic Hands-Free Profile (HFP) w Zephyr OS wykryto podatność polegającą na zapisie poza dozwolonym zakresem pamięci. Funkcja cind_handle_values() nie sprawdza, czy indeks tablicy ind_table[] (20 elementów) nie przekracza jej rozmiaru, co pozwala zdalnemu atakującemu (złośliwemu urządzeniu AG) na zapisanie kontrolowanej wartości poza tablicą, powodując uszkodzenie pamięci i potencjalnie odmowę usługi stosu Bluetooth.

W Zephyr'owym stosie IPv6 wykryto podatność use-after-free w funkcjach wysyłających komunikaty Neighbor Discovery (NA, NS, RS). Po udanym wysłaniu pakietu, kod odwołuje się do już zwolnionej struktury pakietu, co może prowadzić do awarii systemu lub potencjalnego uszkodzenia pamięci.

W stosie IPv4 systemu Zephyr wykryto podatność use-after-free w funkcji icmpv4_handle_echo_request(). Po wysłaniu odpowiedzi ICMP Echo Reply, kod odczytuje wskaźnik interfejsu z już zwolnionego pakietu, co może prowadzić do odczytu pamięci lub zapisu przez nieprawidłowy wskaźnik. Problem występuje od wersji v1.14 (2019) do v4.4.0.

W stosie sieciowym Zephyra (subsys/net/ip/icmpv6.c) występuje podatność use-after-free podczas obsługi pakietów ICMPv6. Po wysłaniu odpowiedzi na żądanie echa (ping) lub błędu ICMPv6, funkcje odczytują interfejs sieciowy z już zwolnionego pakietu, co prowadzi do dereferencji wskaźnika po zwolnieniu pamięci.

W stosie sieciowym Zephyr w funkcji mld_send() odczytano interfejs sieciowy z pakietu po jego zwolnieniu przez sterownik L2. Może to prowadzić do odczytu zwolnionej pamięci, a w przypadku współbieżnej realokacji do wywołania pustego wskaźnika (NULL-pointer dereference) lub uszkodzenia pamięci.

W implementacji IGMP dla IPv4 w systemie Zephyr występuje podatność use-after-free. Funkcja igmp_send() odczytuje wskaźnik interfejsu sieciowego z pakietu po jego wysłaniu, co może prowadzić do użycia zwolnionej pamięci. Problem dotyczy wersji od v2.6.0 do v4.4.0.

W Zephyr OS na platformach Xtensa z włączonym CONFIG_USERSPACE i CONFIG_XTENSA_MMU, funkcja arch_mem_domain_deinit() nie usuwa węzła domeny z globalnej listy xtensa_domain_list, co prowadzi do wiszącego wskaźnika. Kolejne operacje mapowania/odmapowania pamięci mogą wywołać dereferencję NULL lub use-after-free, powodując awarię systemu lub naruszenie izolacji przestrzeni użytkownika.

W stosie TCP Zephyra (TCP2) wykryto podatność use-after-free w funkcji net_tcp_foreach(). Funkcja ta iteruje globalną listę połączeń, zwalniając blokadę podczas wywoływania callbacku, co pozwala współbieżnemu wątkowi na usunięcie i zwolnienie pamięci następnego elementu listy. Po ponownym przejęciu blokady iterator odwołuje się do zwolnionej pamięci, co może prowadzić do awarii systemu (odmowa usługi) lub potencjalnego wycieku informacji.

Podatność przesunięcia bitowego w podsystemie PTP systemu Zephyr pozwala zdalnemu atakującemu wywołać niezdefiniowane zachowanie i potencjalne awarie systemu. Atakujący wysyła spreparowaną wiadomość PTP_MSG_MANAGEMENT, ustawiając niezweryfikowaną ujemną wartość log_announce_interval, co przy przetwarzaniu PTP_MSG_ANNOUNCE prowadzi do przesunięcia przekraczającego szerokość 64-bitowej liczby całkowitej.

W Zephyr gniazda utworzone z `IPPROTO_TLS_1_3` mogą negocjować połączenie TLS 1.2, gdy obie wersje TLS są włączone w Kconfig, ponieważ wybór protokołu na poziomie gniazda nie jest propagowany do mbedTLS. Aplikacje zakładające, że `IPPROTO_TLS_1_3` wymusza TLS 1.3, mogą w rezultacie używać TLS 1.2 i być narażone na specyficzne dla tej wersji słabości.