Podatności Zephyr

To CVE zostało odrzucone jako duplikat. Opisana podatność dotyczyła błędnego sprawdzania uprawnień w ścieżkach GATT notify/indicate w stosie Bluetooth Zephyr, ale została już wcześniej zgłoszona jako CVE-2026-2411.

Identyfikator CVE-2026-10676 został wycofany, ponieważ analiza wykazała, że zgłoszona wada nie jest dostępna w żadnej wydanej wersji Zephyr. W każdej wspieranej wersji poprawna wartość jest korygowana przed jej użyciem.

System operacyjny Zephyr zawiera lukę w ścieżce uaktualnienia WebSocket serwera HTTP. Nieuwierzytelniony atakujący zdalny może wywołać uszkodzenie pamięci, wysyłając spreparowany nagłówek Sec-WebSocket-Key. Kopiowanie nagłówka do bufora o stałym rozmiarze nie gwarantuje zakończenia NUL, co prowadzi do odczytu i zapisu poza zakresem na stosie.

Podatność w funkcji ethernet_recv() w subsys/net/l2/ethernet/ethernet.c w stosie sieciowym Zephyr. Gdy ethertype to 0x8100, a na interfejsie włączony jest VLAN, bufor odbieranej ramki jest reinterpretowany jako 18-bajtowa struktura net_eth_vlan_hdr bez ponownego sprawdzenia długości, co powoduje odczyt poza buforem i podniesienie hdr_len do 18. Pojedyncza nieuwierzytelniona ramka o długości 14-17 bajtów z ethertype 0x8100 wyzwala błąd.

Podatność w stosie Bluetooth LE Zephyr pozwala zdalnemu, nieuwierzytelnionemu atakującemu na użycie po zwolnieniu (use-after-free) w obsłudze kanałów L2CAP CoC z dynamicznym PSM. Wysyłając ramkę danych, a następnie żądanie rozłączenia, atakujący może spowodować, że kolejka pracy systemu przetworzy pracę wskazującą na zwolniony kanał, co prowadzi do naruszenia pamięci lub uszkodzenia kolejki pracy.

Implementacja procedury LLCP w kontrolerze Bluetooth LE Zephyra zatrzymuje węzeł odbiorczy po akceptacji LL_PHY_UPDATE_IND, ale ścieżki obsługi nieprawidłowych PDU nie zwalniają tego węzła przed zakończeniem procedury. Atakujący z zasięgu radiowego może wysłać sekwencję PDU, która powoduje naruszenie asercji (awarię urządzenia) lub wyciek węzłów z puli odbiorczej, prowadząc do niedostępności Bluetooth do czasu restartu.

Podatność w mechanizmie weryfikacji wywołań systemowych Zephyra (z_vrfy_fuel_gauge_get_props() i z_vrfy_fuel_gauge_set_props()) polega na alokacji tablic o zmiennym rozmiarze (VLA) na stosie jądra na podstawie niezwalidowanego argumentu len pochodzącego od użytkownika. Brak sprawdzenia zakresu przed alokacją i kopiowaniem pozwala wątkowi w trybie użytkownika (CONFIG_USERSPACE) na zapis poza zakresem w trybie nadzorcy z kontrolowaną przez atakującego długością i zawartością danych.

W podsystemie IPv6 stosu Zephyr stwierdzono podatność na odczyt poza zakresem pamięci w funkcji net_route_ipv6_packet(). Problem wynika z braku sprawdzenia, czy wpis w pamięci podręcznej sąsiadów (neighbor cache) posiada adres warstwy łącza, zanim zostanie on użyty. Atakujący z tej samej sieci może wymusić stan nierozwiązanego sąsiada i doprowadzić do odczytu pamięci poza tablicą adresów, co może skutkować awarią systemu (panic) lub wyciekiem danych.

W stosie IEEE 802.15.4 w Zephyrze funkcja ieee802154_decipher_data_frame() nie sprawdza, czy ramka jest wystarczająco długa, zanim obliczy długość danych. Odejmowanie długości nagłówka i tagu uwierzytelniającego od długości ramki może się zawinąć (underflow), co prowadzi do odczytu i zapisu poza buforem pakietu. Atakujący w zasięgu radiowym może wysłać krótką ramkę, powodując uszkodzenie pamięci i awarię systemu.

W funkcji ieee802154_send() w stosie sieciowym Zephyr pakiet wychodzący jest kopiowany do stałego bufora nadawczego o rozmiarze 125 bajtów bez sprawdzenia długości. Gdy włączona jest fragmentacja 6LoWPAN, ale fragmentacja nie jest wymagana, brak weryfikacji rozmiaru pozwala na zapis poza buforem. Luka jest osiągalna przez gniazda NET_AF_PACKET powiązane z interfejsem 802.15.4, w tym przez nieuprzywilejowany wątek aplikacji w buildach CONFIG_USERSPACE.

Podatność w module PSA Internal Trusted Storage w Zephyrze dotyczy braku synchronizacji w generowaniu nonce dla szyfrowania AEAD. Funkcja secure_storage_its_transform_aead_get_nonce() używa statycznych zmiennych lokalnych bez blokady, co przy równoczesnych zapisach do tego samego UID może prowadzić do ponownego użycia nonce z tym samym kluczem. To powoduje katastrofalną awarię szyfrowania, umożliwiając wyciek danych i fałszowanie wpisów.

Eksperymentalny stos USB hosta w Zephyr zawiera podwójne zwolnienie pamięci (double free) w buforze deskryptora konfiguracji urządzenia USB. Na trzech ścieżkach błędów bufor jest zwalniany, ale wskaźnik nie jest zerowany, co prowadzi do ponownego zwolnienia podczas sprzątania. Podatność może być wyzwolona przez złośliwe lub uszkodzone urządzenie USB.

Funkcja net_icmpv6_send_error() w stosie sieciowym Zephyr implementowała tylko jedną z trzech reguł tłumienia z RFC 4443 sekcja 2.4, przez co nie sprawdzała, czy źródło pakietu wskazuje pojedynczy węzeł ani czy pakiet był wysłany na adres multicast. Nieuwierzytelniony atakujący w tej samej sieci może wysłać jeden pakiet IPv6 na adres ff02::1 ze sfałszowanym źródłem ofiary, powodując, że wszystkie węzły Zephyr wyślą komunikaty ICMPv6 Parameter Problem do ofiary (refleksja z amplifikacją), albo wysłać pakiet unicast z adresem źródłowym multicast, co zamienia go w zalewający łącze ramkę multicast.

W warstwie gniazd TLS systemu Zephyr (subsys/net/lib/sockets/sockets_tls.c) globalna tablica buforów sesji klienta (client_cache) jest współdzielona przez wszystkie gniazda TLS, a dostęp do niej był synchronizowany jedynie mutexem pojedynczego gniazda (ctx->lock). Przy domyślnym ustawieniu CONFIG_NET_SOCKETS_TLS_MAX_CLIENT_SESSION_COUNT równego 1 dwa równoległe gniazda klienta korzystają z tego samego slotu, co prowadzi do use-after-free przy odczycie oraz double-free przy dwóch zapisach evictujących ten sam wpis. Błąd powoduje uszkodzenie sterty mbedTLS, a naprawa wprowadza dedykowany mutex session_cache_lock obejmujący wszystkie operacje na client_cache.

Podsystem SDIO w Zephyr OS zawiera podatność w funkcji sdio_io_rw_extended_helper(), gdzie wartość func->cis.max_blk_size jest dekodowana z karty SDIO bez walidacji. Jeśli karta zgłasza maksymalny rozmiar bloku równy zero, pętla transferu nigdy się nie kończy, powodując zawieszenie wątku i trwałe zablokowanie mutexu, co prowadzi do odmowy usługi dla peryferium SDIO.

Podatność w stosie Bluetooth Classic (BR/EDR) w Zephyr RTOS dotyczy handlera L2CAP, który przetwarza przychodzące pakiety danych na podstawie samego identyfikatora kanału (CID), bez sprawdzania, czy kanał osiągnął stan połączenia (BT_L2CAP_CONNECTED). Atakujący w zasięgu radiowym może wysłać dane na kanał w trakcie nawiązywania połączenia, zanim konfiguracja i uwierzytelnienie zostaną zakończone. Może to prowadzić do dostarczenia danych do górnych warstw na niedomkniętym kanale, a także do użycia nieaktualnych lub częściowo zainicjalizowanych danych kanału, co skutkuje przerwaniem połączenia (DoS) lub potencjalnie wiszącym wskaźnikiem.

W podsystemie IPv6 stosu Zephyr (subsys/net/ip/ipv6_nbr.c) funkcja net_ipv6_send_ns() przydziela pakiet sieciowy dla Neighbor Solicitation. Gdy jest wywoływana z pakietem danych oczekującym na nierozwiązanego sąsiada i kolejka oczekujących jest już niepusta, funkcja dodaje pakiet danych i wraca wcześniej, bez wysłania NS przez net_send_data() ani zwolnienia go przez net_pkt_unref(). Nowo przydzielony pakiet NS i jego bufory TX są trzymane tylko przez zmienną lokalną i wyciekają trwale, nigdy nie wracając do CONFIG_NET_PKT_TX_COUNT / CONFIG_NET_BUF_TX_COUNT.

Implementacja WireGuard w Zephyrze błędnie obsługiwała pakiety keepalive. Wiadomość typu 4 z 16-bajtowym ładunkiem (pusty tekst jawny i tag Poly1305) była akceptowana bez weryfikacji tagu uwierzytelniającego, ponieważ funkcja wg_process_data_message() zwracała wynik przed wywołaniem wg_decrypt_packet(). Atakujący mógł wysłać fałszywy keepalive, nie znając klucza sesji.

Podatność w Zephyr's WireGuard VPN: funkcja wg_process_data_message() sprawdzała licznik anty-replay zbyt późno, po zatwierdzeniu zmian stanu peer'a (aktualizacja adresu, timery, rotacja kluczy). Atakujący może wstrzyknąć przechwycony pakiet, co prowadzi do przejęcia endpointu i zakłócenia sesji.

Sterownik virtio w systemie Zephyr nie sprawdza poprawności identyfikatora łańcucha deskryptorów zapisywanego przez urządzenie virtio do pierścienia używanego. Atakujący backend virtio może podać identyfikator wykraczający poza zakres, co prowadzi do odczytu poza pamięcią i wywołania wskaźnika funkcji w kontekście przerwania gościa. Umożliwia to przejęcie kontroli nad przepływem wykonania lub spowodowanie awarii systemu.

Podatność w backendzie NVS podsystemu ustawień Zephyr (settings_nvs.c) powoduje zapis poza granicami stosu. Funkcja nvs_read() zwraca pełną długość wpisu, która może przekraczać rozmiar bufora, a kod używa tej wartości jako indeksu do zapisu znaku NUL, co prowadzi do zapisu poza bufor (CWE-787).

Podatność w Zephyr RTOS w module PTP (Precision Time Protocol) pozwala zdalnemu atakującemu na wywołanie odczytu poza zakresem pamięci przez wysłanie specjalnie spreparowanego pakietu PTP z nieprawidłowym typem wiadomości (0xE lub 0xF). Brak walidacji górnego zakresu indeksu tablicy msg_size[] prowadzi do odczytu poza tablicą, a następnie do dalszych operacji na pamięci, co może skutkować awarią systemu lub ograniczonym uszkodzeniem pamięci.

W Zephyr OS w kodzie dekompresji 6LoWPAN IPHC (subsys/net/ip/6lo.c) występuje odczyt poza zakresem w funkcji get_ihpc_inlined_size(). Indeks do tablicy da_inline_size_table (13 wpisów) jest budowany z 4-bitowego pola M, DAC i DAM nagłówka IPHC, a zarezerwowane kombinacje 13, 14 i 15 nie są sprawdzane pod kątem granic, co prowadzi do odczytu poza tablicą.

W Zephyr OS wykryto podatność use-after-free w ścieżce usuwania dynamicznych obiektów jądra. Funkcja unref_check() zwalnia pamięć obiektu po wyzerowaniu licznika referencji, ale dla timerów (K_OBJ_TIMER) nie anuluje aktywnego timeoutu, pozostawiając wiszący węzeł w globalnej kolejce timeoutów. Po wygaśnięciu timera jądro wywołuje handler na zwolnionej pamięci, co prowadzi do zapisu do zwolnionego obszaru.

W jądrze Zephyr (drugiej generacji kolejki pracy, kernel/work.c) występuje podatność use-after-free w obsłudze timeoutów opóźnialnych elementów pracy. Gdy timeout elementu został usunięty z kolejki, a jego handler work_timeout() jest w trakcie wykonywania (zablokowany na spinlocku kolejki), równoczesna anulacja nie czeka na zakończenie tego handlera. W efekcie funkcje k_work_cancel_delayable_sync() i k_work_flush_delayable() mogą zwrócić sukces, mimo że handler wciąż działa, a zwolnienie obiektu prowadzi do odwołania do zwolnionej pamięci (odczyt i zapis).

Weryfikatory wywołań systemowych w przestrzeni użytkownika z_vrfy_zsock_sendmsg() i z_vrfy_zsock_recvmsg() w subsys/net/lib/sockets/sockets.c kopiują strukturę net_msghdr do kopii po stronie jądra, ale następnie ponownie odczytują oryginalną strukturę użytkownika. Podwójny odczyt (double-fetch) umożliwia atakującemu wątek w tym samym obszarze pamięci zwiększenie msg->msg_iovlen w oknie czasowym, co prowadzi do zapisu poza przydzielony bufor w jądrze. Może to prowadzić do eskalacji uprawnień lub awarii jądra.

W sterowniku Intel ALH (dai_alh_get_properties) brak walidacji zakresu dla parametru stream_id, co prowadzi do odczytu poza zakresem z tablicy alh_handshake_map i wycieku informacji z jądra. Podatność można wykorzystać z poziomu przestrzeni użytkownika, jeśli dostęp do urządzenia ALH jest przyznany.

Podatność w sterowniku USB CDC NCM w Zephyrze powoduje przepełnienie bufora podczas obsługi żądań GET_NTB_PARAMETERS i GET_NTB_INPUT_SIZE. Host może wysłać żądanie z mniejszym polem wLength niż rozmiar struktury odpowiedzi, co prowadzi do zapisu poza przydzielony bufor (do 27 bajtów).

Implementacja klasy USB DFU w nowym (eksperymentalnym) stosie USB device_next w Zephyrze zawiera dereferencję wskaźnika NULL w funkcji handle_download(). Atakujący kontrolujący host USB może wywołać awarię urządzenia (odmowa usługi) poprzez wysłanie żądania DFU_DNLOAD z zerową długością.

W porcie Zephyr dla ARM, włączenie sprzętowego FPU (CONFIG_FPU) wymusza wybór ABI zmiennoprzecinkowego, który domyślnie ustawia CONFIG_FP_HARDABI. Zarówno FP_HARDABI, jak i FP_SOFTABI pozwalają kompilatorowi generować instrukcje FP w dowolnej funkcji, nawet w kodzie nieużywającym typów zmiennoprzecinkowych. Jednak rejestry FP zapisywane przez wywoływany (callee-saved) (s16-s31 / d8-d15) są zapisywane i przywracane podczas przełączania kontekstu tylko wtedy, gdy włączono CONFIG_FPU_SHARING, a przed poprawką wybór ABI nie włączał współdzielenia rejestrów FPU.

Podatność w funkcji tls_opt_dtls_peer_connection_id_value_get() w Zephyr (subsys/net/lib/sockets/sockets_tls.c) powoduje zapis poza zakresem w jądrze systemu. Funkcja przekazuje optval od wywołującego bezpośrednio do mbedtls_ssl_get_peer_cid() bez sprawdzenia, czy bufor ma co najmniej MBEDTLS_SSL_CID_OUT_LEN_MAX (domyślnie 32) bajty. W buildach z CONFIG_USERSPACE nieuprzywilejowany wątek może wywołać przepełnienie bufora w jądrze, jeśli przekaże mały optlen na połączonym gnieździe DTLS z włączonym Connection ID.

W Zephyr's Bluetooth Mesh zarządzanie kluczami podsieci wycieka jeden slot klucza PSA Crypto przy każdym usunięciu klucza podsieci. Funkcja net_keys_create() importuje klucz Private Beacon do slotu PSA, ale funkcja subnet_keys_destroy() warunkuje wywołanie psa_destroy_key() na CONFIG_BT_MESH_V1d1, który został usunięty, więc slot nigdy nie jest zwalniany. Przy domyślnej liczbie 16 slotów, po około 12 cyklach dodawania/usuwania lub odświeżania kluczy pula slotów się wyczerpuje, uniemożliwiając dodawanie nowych podsieci i powodując błędy w innych konsumentach PSA Crypto.

W stosie Bluetooth Zephyra wykryto podatność polegającą na błędnym sprawdzaniu uprawnień podczas wysyłania powiadomień i wskazań GATT. Gdy aplikacja przekazuje atrybut deklaracji cechy (Characteristic Declaration), system sprawdza uprawnienia deklaracji (tylko odczyt) zamiast uprawnień wartości cechy, co pozwala na ominięcie wymaganego szyfrowania lub uwierzytelnienia.

Funkcja net_dhcpv4_msg_type_name() w Zephyr DHCPv4 indeksuje statyczną tablicę nazw po wadliwym sprawdzeniu granic. Użyto sizeof zamiast ARRAY_SIZE, co pozwala na odczyt poza tablicą dla wartości typu wiadomości od 9 do 32 (lub 64). Wartość msg_type pochodzi z niezweryfikowanego bajtu z odebranego pakietu DHCP.

W Zephyr OS stwierdzono podatność w ścieżce przekazywania pakietów IPv6, gdzie nie jest dekrementowane pole hop limit. Powoduje to, że router IPv6 może przekazywać pakiety w nieskończoność, co prowadzi do przeciążenia sieci i wyczerpania zasobów.

W Zephyr Bluetooth GATT kliencie, w funkcji gatt_write_ccc_rsp(), występuje podatność use-after-free. Po otrzymaniu błędu ATT Error Response od serwera GATT, funkcja wywołuje callback notify(NULL) sygnalizujący zakończenie subskrypcji, a następnie wywołuje callback subscribe() na już zwolnionej strukturze, co prowadzi do użycia po zwolnieniu.

W systemie Zephyr, w pliku coredump_shell.c, funkcja print_coredump_hdr() używa 16-bitowego pola tgt_code z nagłówka coredump jako indeksu do tablicy coredump_target_code2str[] bez sprawdzania zakresu. Wartość tgt_code >= 7 powoduje odczyt poza zakresem, co może ujawnić pamięć urządzenia lub spowodować awarię.

W systemie Zephyr w podsystemie obiektów dynamicznych przestrzeni użytkownika funkcja thread_idx_alloc() alokuje indeks uprawnień wątku z globalnej bitmapy _thread_idx_map[] bez trzymania blokady lists_lock. Na systemach SMP dwa wątki użytkownika wywołujące jednocześnie k_object_alloc(K_OBJ_THREAD) mogą zobaczyć ten sam wolny bit, wykonać tę samą nieatomową operację RMW i otrzymać identyczny tidx.

Podatność w systemie plików ext2 Zephyra pozwala na atak DoS przez spreparowany obraz ext2. Walidator superbloku nie sprawdza, czy pola s_blocks_per_group i s_inodes_per_group są niezerowe, co prowadzi do dzielenia przez zero podczas montowania. Na platformach ARMv7-M/ARMv8-M powoduje to błąd krytyczny i odmowę usługi.

W sterowniku DesignWare SPI (drivers/spi/spi_dw.c) w Zephyr do wersji v4.4.0 brak walidacji częstotliwości config->frequency, co pozwala nieuprzywilejowanemu wątkowi z dostępem do urządzenia SPI na wywołanie dzielenia przez zero (unsigned integer divide-by-zero). Powoduje to wyjątek CPU i lokalną odmowę usługi. Wymaga CONFIG_USERSPACE=y i przyznanych uprawnień.

Podatność w Zephyr (MCTP-over-I2C+GPIO) pozwala atakującemu na zapis dowolnego bajtu przez niezainicjalizowany wskaźnik oraz na jednobajtowy przepełnienie sterty. Brak walidacji kolejności zapisów i bufora odbiorczego umożliwia zdalne uszkodzenie pamięci lub awarię systemu.

W Zephyr Bluetooth Mesh PB-ADV provisioning bearer istnieje podatność polegająca na bezwarunkowym resetowaniu timera protokołu przed sprawdzeniem poprawności ramki (FCS) i stanu łącza (ADV_LINK_INVALID). Zdalny, nieuwierzytelniony atakujący może wysłać poprawny FCS PDU PB-ADV na tym samym ID łącza, powodując ciągłe resetowanie timera i uniemożliwiając zamknięcie martwego łącza. Prowadzi to do trwałej odmowy usługi provisioning/re-provisioning, bez wpływu na poufność, integralność czy bezpieczeństwo pamięci.

Sterownik Ethernet Zephyr ADIN2111/ADIN1110 w trybie OA SPI nie sprawdza, czy sumaryczny rozmiar składanej ramki nie przekracza bufora. Atakujący z segmentu Ethernet może wysłać spreparowaną ramkę, powodując zapis poza buforem i potencjalne przejęcie kontroli.

W implementacji potoku (pipe) jądra Zephyr, weryfikator wywołania systemowego z_vrfy_k_pipe_init() używa makra K_SYSCALL_OBJ() zamiast K_SYSCALL_OBJ_NEVER_INIT(), co pozwala nieuprzywilejowanemu wątkowi na ponowną inicjalizację już używanego potoku. Ponowna inicjalizacja resetuje bufory i kolejki oczekiwania bez budzenia zablokowanych wątków, prowadząc do osierocenia oczekujących i uszkodzenia struktur jądra.

W systemach Xtensa z włączoną obsługą MPU i przestrzeni użytkownika, funkcja arch_buffer_validate() domyślnie zwracała 0 (dostęp dozwolony), co pozwalało na pominięcie walidacji, gdy zaokrąglony zakres bufora zawijał 32-bitową przestrzeń adresową. Nieuprzywilejowany wątek użytkownika mógł przekazać spreparowane (addr, size) do dowolnego wywołania systemowego walidującego bufory, uzyskując dostęp do pamięci jądra lub innych partycji.

W systemie Zephyr wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w mechanizmie śledzenia dynamicznych obiektów jądra. Problem występuje w konfiguracjach SMP z włączoną przestrzenią użytkownika i dynamicznymi obiektami, gdzie niezsynchronizowane operacje na liście dwukierunkowej mogą prowadzić do naruszenia pamięci jądra.

W stosie USB hosta Zephyr (CONFIG_USB_HOST_STACK) występuje podatność use-after-free i double-free. Funkcja usbh_device_disconnect() zwalnia obiekt root bez czyszczenia wskaźnika ctx->root, a sterowniki UHC generują zdarzenia usunięcia bez zabezpieczeń, co umożliwia atakującemu z fizycznym dostępem USB wywołanie podwójnego zwolnienia pamięci.

W sterowniku warstwy translacji flash Dhara (drivers/disk/ftl_dhara.c) w Zephyr v4.4.0 występuje podatność polegająca na dereferencji wskaźnika NULL. Podczas inicjalizacji dysku FTL, w przypadku błędu odczytu flash (np. niepoprawialny ECC), kod błędu jest zapisywany przez wskaźnik err, który może być NULL, co prowadzi do paniki jądra i odmowy usługi.

Podatność w warstwie adaptacyjnej ISO stosu Bluetooth Zephyra (isoal.c) pozwala zdalnemu atakującemu na odczyt poza zakresem przez nieprawidłową walidację długości segmentu startowego ramki ISO PDU. Brak sprawdzenia, czy długość segmentu wynosi co najmniej 3 bajty, prowadzi do niedomiaru przy odejmowaniu i kopiowania do 255 bajtów pamięci kontrolera poza odebranym PDU do pakietu HCI ISO.

W Zephyr OS wykryto podatność polegającą na wyścigu w asynchronicznym kliencie SNTP. Zamknięcie gniazda UDP z wątku wywołującego bez synchronizacji z wątkiem pollującym może prowadzić do użycia po zwolnieniu (use-after-free) struktury net_context.