Podatności Zephyr kernel

Podatność typu time-of-check-to-time-of-use (TOCTOU) w jądrze Zephyr w funkcji z_vrfy_i3c_transfer() obsługującej wywołanie systemowe i3c_transfer(). Deskryptor urządzenia I3C dostarczony przez użytkownika jest walidowany w miejscu, a następnie ponownie odczytywany z pamięci użytkownika podczas użycia, co pozwala innemu wątkowi w tej samej domenie pamięci podmienić pole bus między sprawdzeniem a użyciem. W rezultacie jądro może wywołać w trybie supervisora wskaźnik funkcji z tablicy api kontrolowanej przez atakującego.

Podatność typu race condition w jądrze Zephyr dotyczy funkcji z_waitq_head(), która w systemach SMP odczytuje początek kolejki oczekujących wątków bez trzymania spinlocka _sched_spinlock. W wyniku wyścigu między obsługą wygaśnięcia timera a przerywaniem wątku może dojść do zapisów poza zakresem i use-after-free w kontekście supervisora oraz uszkodzenia stanu schedulera.

Podatność w jądrze Zephyr dotyczy systemowych wywołań k_thread_join() i k_thread_abort(). Błąd w sprawdzaniu dostępu (thread_obj_validate()) powoduje, że nieautoryzowany wątek użytkownika może wywołać te funkcje na obiekcie wątku, do którego nie ma uprawnień. Zamiast przerwania wątku, wykonanie przechodzi do niezdefiniowanego zachowania, co może prowadzić do awarii jądra (na Clang) lub obejścia kontroli dostępu (na GCC).

Podatność w jądrze Zephyr dotyczy funkcji z_queue_node_peek() w kernel/queue.c, która odczytuje węzeł z listy data_q bez trzymania spinlocka kolejki. Współbieżne wywołanie k_queue_get() może zwolnić ten węzeł w trakcie operacji, prowadząc do use-after-free i zwrócenia wiszącego wskaźnika. Dotyczy to kolejek k_fifo i k_lifo używanych w subsystemach net_buf, Bluetooth, USB i sieci.