SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-17054

ŚrednieCVSS 5.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Sterownik Wi-Fi ESP-hosted (drivers/wifi/esp_hosted/) w Zephyrze parsuje ramki kontrolne odbierane przez SPI od koprocesora ESP i używa 16-bitowego pola TLV data_length bez sprawdzenia go względem długości ramki i bufora odbiorczego. Wartość do 0xFFFF powoduje, że pb_decode() czyta nawet około 62 KB poza 3188-bajtowy obiekt na stosie. Dodatkowo błędy w reassemblacji fragmentów i kolejkę nieobsłużonych zdarzeń powodują trwałą utratę odbioru Wi-Fi aż do restartu urządzenia.

Ocena ryzyka

Sąsiadujący, nieuwierzytelniony atakujący może wpływać na rozmiar i zawartość odpowiedzi kontrolnych (np. listy skanowania AP), doprowadzając do odczytu poza zakresem pamięci, błędu urządzenia i trwałego zatrzymania odbioru Wi-Fi (denial of service). Nie stwierdzono wycieku danych, ale skutkiem jest niedostępność łączności bezprzewodowej do czasu restartu.

Rekomendacja

Zaktualizuj sterownik ESP-hosted do wersji zawierającej poprawkę walidującą pole data_length względem długości ramki i bufora odbiorczego oraz naprawiającą reassemblację fragmentów i kolejkę zdarzeń. Do czasu wdrożenia poprawki ogranicz fizyczny dostęp do interfejsu SPI i rozważ nadzór nad restartem urządzenia.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The Espressif ESP-hosted Wi-Fi driver (drivers/wifi/esp_hosted/) parses frames received over SPI from the ESP co-processor in esp_hosted_event_task(). For control frames it took the 16-bit TLV field data_length straight off the wire and passed it to pb_istream_from_buffer(frame.data_value, frame.data_length) without checking it against the frame length or the receive buffer. frame.data_value sits 26 bytes into a 3188-byte stack object, so a data_length of up to 0xFFFF makes pb_decode() read up to roughly 62 KB past the end of that object. Only the first fragment of a fragmented control response carries a TLV header; the pre-fix driver performed half-duplex SPI transactions and silently discarded any frame the co-processor queued while the host was transmitting (esp_hosted_hal_spi_transfer() aliased the RX buffer onto the TX buffer). When the discarded frame is the first fragment of a fragmented response, the driver treats the next fragment as a new frame — its per-fragment header and checksum are genuine, so both validation steps pass — and reads the TLV header out of raw protobuf continuation bytes. Those bytes come from control responses whose size and content an adjacent, unauthenticated attacker can influence, notably the AP scan list, which grows with the number and SSID length of access points in radio range. The impact is denial of service rather than disclosure. Reading past the end of the RAM region faults the device, and CONFIG_NANOPB_ENABLE_MALLOC is selected by the driver, so garbage length prefixes read out of bounds also drive heap allocations. The out-of-bounds bytes themselves do not reach the application: pb_decode() is started mid-stream on raw protobuf continuation bytes and so almost always fails outright, and anything that did decode would still have to pass esp_hosted_response(), which requires an exact msg_id match against the pending request, and then esp_hosted_ctrl_response(), which requires a success resp — an attacker influences the size and content of legitimate control responses, not the structure decoded out of misaligned bytes. Two related defects in the same receive path make the denial of service permanent: the fragment reassembly guard was sized with ESP_FRAME_SIZE instead of ESP_FRAME_MAX_PAYLOAD and, when tripped, returned from the sole RX thread instead of dropping the frame, and unhandled control events were queued with k_msgq_put(..., K_FOREVER) on an eight-entry queue that nothing drains, blocking that same thread. The driver has no watchdog or restart path, so either condition ends all Wi-Fi reception until the device is rebooted.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS