SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-18416

NiskieCVSS 3.7
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W podsystemie CoAP (subsys/net/lib/coap/coap_link_format.c) funkcja match_path_uri() porównuje zarejestrowaną ścieżkę zasobu z URI w opcji Uri-Query href. URI nie jest zakończone znakiem NUL, a wewnętrzna pętla nie sprawdza indeksu k względem długości opcji len, co prowadzi do odczytu poza końcem bufora, gdy ścieżka zasobu jest dłuższa niż URI i URI jest jej prefiksem. Podatność jest osiągalna przez nieuwierzytelnione żądanie GET /.well-known/core?href=/<prefix> do urządzenia z włączonym CONFIG_COAP_SERVER_WELL_KNOWN_CORE (domyślnie y) i posiadającego zasoby z atrybutami struct coap_core_metadata.

Ocena ryzyka

Ryzyko jest ograniczone — odczyt poza zakresem dotyczy najwyżej jednego bajta w praktyce i nie prowadzi do ujawnienia informacji ani błędów dopasowania. Skutkiem jest niezdefiniowane zachowanie, które w skrajnych przypadkach może powodować awarię lub nieprzewidywalne działanie systemu, ale nie umożliwia zdalnego przejęcia kontroli.

Rekomendacja

Zaleca się natychmiastowe zastosowanie poprawki dodającej zabezpieczenie k >= len na początku wewnętrznej pętli, aby każdy odczyt uri[k] mieścił się w wartości opcji. Należy zaktualizować system do wersji zawierającej poprawkę lub ręcznie załatać kod źródłowy.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The CoAP link-format helper match_path_uri() in subsys/net/lib/coap/coap_link_format.c compares a registered resource path against the URI carried in a Uri-Query href= option. That URI is not NUL terminated, but the inner character loop advanced its index k once per path character without ever testing it against the option length len. When a registered path segment is longer than the supplied URI and the URI is a prefix of it, the loop reads uri[len] and beyond, past the end of the option value. The path is reached from coap_well_known_core_get_len() and coap_well_known_core_get() via match_queries_resource(), i.e. by any unauthenticated GET /.well-known/core?href=/<prefix> request to a device that serves /.well-known/core (for the CoAP server subsystem, CONFIG_COAP_SERVER_WELL_KNOWN_CORE, default y) and has at least one resource that declares struct coap_core_metadata attributes. The over-read does not reach the receive buffer. The well-known-core builders parse the query into a stack-local struct coap_option, whose value is a fixed array (value[12], or CONFIG_COAP_EXTENDED_OPTIONS_LEN_VALUE bytes) that the option bytes are copied into, so uri points into that copy. Reading past len therefore reads the unused, uninitialized tail of the array and, when the option fills it, the bytes just past it in the same stack frame. (In the ZoAP library of v1.8.0 to v1.9.x the option value was instead a pointer into the received packet, and the over-read ran past the option inside the packet buffer.) The impact is bounded. The number of bytes read past the end is limited by the length of the resource path segment, and each additional byte is only read if it happens to equal the next path character, so in practice the over-read is one byte. It also cannot influence the response: returning a match requires the final compared index to be len - 1 or len, both in bounds, so out-of-bounds bytes only ever steer the loop to the next candidate resource. The consequence is undefined behaviour, not information disclosure and not a matching error. The fix adds a k >= len guard at the top of the inner loop, so every uri[k] dereference is within the option value while still allowing a trailing * wildcard to match a longer path.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS