SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-79976

WysokieCVSS 7.1
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Podatność w emulowanym celu MCTP-over-I2C+GPIO (mctp_i2c_gpio_target.c) polega na tym, że po odebraniu I2C STOP nie są czyszczone numer wybranego rejestru (b->reg_addr) ani flaga fazy danych (b->rxtx). Kontroler magistrali może dwoma zwykłymi transakcjami doprowadzić do wywołania mctp_bus_rx() z buforem NULL lub do dereferencji b->tx_pkt->end po jego wyczyszczeniu, co powoduje wyjątek w obsłudze przerwania i reset lub zatrzymanie urządzenia.

Ocena ryzyka

Każde urządzenie mogące działać jako kontroler na współdzielonej magistrali zarządzającej (np. przejęty firmware peera MCTP lub BMC) może wywołać odmowę usługi. Na układach, gdzie adres 0 jest czytelny, skutek ogranicza się do przekazania zniekształconego bufora do stosu MCTP i utraty pakietów nadawczych — bez naruszenia poufności lub integralności.

Rekomendacja

Zaktualizuj jądro/system do wersji zawierającej poprawkę resetującą b->reg_addr do MCTP_I2C_GPIO_INVALID_ADDR i czyszczącą b->rxtx przy każdym STOP. Jeśli funkcja nie jest potrzebna, wyłącz CONFIG_MCTP_I2C_GPIO_TARGET (dotyczy tylko buildów z eksperymentalnym CONFIG_MCTP).

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The MCTP-over-I2C+GPIO target binding in subsys/pmci/mctp/mctp_i2c_gpio_target.c emulates a small pseudo-register file, where the bus controller first writes a register number and then writes or reads payload bytes. The selected register (b->reg_addr) and the data-phase flag (b->rxtx) were never cleared when the controller issued an I2C STOP, so after a completed transfer the target still had a data register selected while the packet buffer that register refers to had already been consumed and set to NULL by mctp_i2c_gpio_target_stop(). A controller on the bus can re-enter the same branch of mctp_i2c_gpio_target_stop() with a NULL buffer using two ordinary transactions and no authentication: first a normal packet write to MCTP_I2C_GPIO_RX_MSG_ADDR followed by STOP (which delivers and frees b->rx_pkt), then a bare read transaction followed by STOP. The failing read_requested() call leaves the stale state untouched and the I2C driver still delivers the STOP callback, which then calls mctp_bus_rx() with a NULL packet. The symmetric case exists on the transmit side, where the stale MCTP_I2C_GPIO_TX_MSG_ADDR selection dereferences b->tx_pkt->end after b->tx_pkt has been cleared and additionally signals b->tx_complete a second time, causing the next outbound packet to be dropped. The dereference happens in the I2C target interrupt handler, so on any target that traps accesses to address 0 the result is a fatal exception and a device reset or halt — a denial of service inflicted by any device able to act as controller on the shared management bus (for example compromised firmware on a peer MCTP endpoint or on the BMC). On parts where address 0 is readable, the impact degrades to a malformed packet buffer being handed to the MCTP stack and lost transmit packets. No attacker-controlled value is written and no confidentiality or integrity boundary is crossed. The fix resets b->reg_addr to MCTP_I2C_GPIO_INVALID_ADDR and clears b->rxtx at every STOP, so a new register must be selected before any data phase can run again. Only builds that opt into the experimental CONFIG_MCTP subsystem with CONFIG_MCTP_I2C_GPIO_TARGET=y are affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS