SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-11985

NiskieCVSS 3.6
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

W porcie Zephyr dla ARM, włączenie sprzętowego FPU (CONFIG_FPU) wymusza wybór ABI zmiennoprzecinkowego, który domyślnie ustawia CONFIG_FP_HARDABI. Zarówno FP_HARDABI, jak i FP_SOFTABI pozwalają kompilatorowi generować instrukcje FP w dowolnej funkcji, nawet w kodzie nieużywającym typów zmiennoprzecinkowych. Jednak rejestry FP zapisywane przez wywoływany (callee-saved) (s16-s31 / d8-d15) są zapisywane i przywracane podczas przełączania kontekstu tylko wtedy, gdy włączono CONFIG_FPU_SHARING, a przed poprawką wybór ABI nie włączał współdzielenia rejestrów FPU.

Ocena ryzyka

Przy domyślnej konfiguracji (FPU włączone, FPU_SHARING wyłączone) jądro nie zachowuje stanu rejestrów FP między przełączeniami wątków. W trybie CONFIG_USERSPACE, gdzie wątki są odizolowane, może to prowadzić do ujawnienia danych: wątek ofiary może pozostawić wartości w rejestrach s16-s31, a inny nieuprzywilejowany wątek może je odczytać, co narusza granice izolacji. Bez userspace ten sam defekt powoduje uszkodzenie stanu FP między wątkami (błąd poprawności).

Rekomendacja

Zaleca się natychmiastowe zastosowanie poprawki, która wymusza wybór CONFIG_FPU_SHARING przy włączonym FP_HARDABI lub FP_SOFTABI oraz oznacza każdy wątek flagą K_FP_REGS. Jeśli nie można zaktualizować systemu, należy ręcznie włączyć CONFIG_FPU_SHARING w konfiguracji budowania.

Inne podatności w Zephyr

Zobacz wszystkie
Oryginalny opis (angielski, źródło NVD)

On the Zephyr ARM port, enabling the hardware FPU (CONFIG_FPU) forces the "Floating point ABI" choice, which defaults to CONFIG_FP_HARDABI. Both FP_HARDABI and FP_SOFTABI permit the compiler to emit hardware FP instructions in any function, even code that never uses floating-point types. However, the callee-saved FP registers (s16-s31 / d8-d15) are only saved and restored across a context switch when CONFIG_FPU_SHARING is enabled (arch/arm/core/cortex_m/swap_helper.S and arch/arm/core/cortex_a_r/swap_helper.S), and prior to this fix selecting an ABI did not enable FPU register sharing, which defaults off. In a build that enables the FPU with the default ABI but leaves CONFIG_FPU_SHARING disabled, the kernel preserves no callee-saved FP register state across thread switches. The documented precondition for this "unshared" mode — that only a single thread ever executes FP instructions — is silently violated because the compiler may generate FP instructions in every thread. Under CONFIG_USERSPACE, where threads are mutually isolated, this becomes an information-disclosure boundary crossing: a victim thread can leave secret-derived values in s16-s31, and a co-resident unprivileged thread can read those registers directly (FP register access is not privilege-gated), recovering data left behind by another thread. Without userspace the same defect causes cross-thread FP state corruption (a correctness fault). The leak is bounded to the 16 callee-saved single-precision registers and is opportunistic, so impact is low. The fix makes FP_HARDABI and FP_SOFTABI select CONFIG_FPU_SHARING and tags every thread with K_FP_REGS at creation, so callee-saved FP state is always preserved across context switches whenever the compiler may emit FP instructions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS