Podatności Zephyr

W stosie Bluetooth Classic RFCOMM hosta Zephyr (subsys/bluetooth/host/classic/rfcomm.c) występuje wyścig (race condition) podczas jednoczesnego zrywania sesji dwukierunkowej. Gdy lokalne urządzenie inicjuje zakończenie sesji (stan BT_RFCOMM_STATE_DISCONNECTING, wysłany DISC, włączony timer RTX), a zdalny peer jednocześnie wysyła własną ramkę DISC dla dlci 0, funkcja rfcomm_handle_disc() wywołuje rfcomm_session_disconnected(), która bezwarunkowo przełącza sesję w stan BT_RFCOMM_STATE_DISCONNECTED bez wywołania bt_l2cap_chan_disconnect(). Powoduje to trwałe zablokowanie sesji: kanał L2CAP nie jest zwalniany, a slot w tablicy bt_rfcomm_pool[] nie jest odzyskiwany.

W implementacji getaddrinfo() dla gniazd BSD w Zephyrze występuje podatność use-after-return. Gdy oczekiwanie na semaforze przekroczy limit czasu, kod ponawia zapytanie DNS bez anulowania poprzedniego, pozostawiając wskaźnik do stosu jako user_data. Opóźniona odpowiedź DNS lub timeout resolwera może nadpisać pamięć stosu, prowadząc do awarii lub uszkodzenia pamięci.

W Zephyr Bluetooth LE Audio Basic Audio Profile (BAP) unicast klienta występuje podatność na zapis przez wskaźnik NULL. Funkcja unicast_client_ep_qos_state() zapisuje kontrolowane przez atakującego pola QoS przez wskaźnik stream->qos, który może być NULL, gdy strumień jest skonfigurowany kodekiem, ale nie dodany do grupy unicast. Zdalny serwer ASCS może wysłać powiadomienie GATT o stanie QoS Configured, gdy lokalny punkt końcowy jest w stanie Codec Configured, co prowadzi do zapisu przez NULL i awarii systemu.

W implementacji recvmsg() dla gniazd IP w Zephyr (subsys/net/lib/sockets/sockets_inet.c) występuje podatność na zapis poza dozwolonym obszarem bufora kontrolnego (msg_control). Walidacja sprawdza tylko długość ładunku (msg_controllen < pktinfo_len), pomijając rozmiar nagłówka cmsg, co pozwala na zapis do 12 bajtów poza buforem.

Stos IPv6 w systemie Zephyr może zostać zablokowany przed odbieraniem lub przetwarzaniem przyszłych pakietów przez wysłanie niewielkiej liczby złośliwie pofragmentowanych pakietów IPv6. Podczas obsługi takiego pakietu w ścieżce przetwarzania nagłówka fragmentów, powiązany bufor pakietów sieciowych RX (przydzielony z płyty pamięci) nie jest zwracany do puli. Powtarzanie złośliwego pakietu wyczerpuje wszystkie sloty buforów RX, po czym urządzenie nie może już uzyskać buforów RX i przestaje odbierać ruch, co prowadzi do odmowy usługi.

Podatność w stosie Bluetooth Zephyra (subsys/bluetooth/host/iso.c) pozwala złośliwemu kontrolerowi lub sąsiedniemu urządzeniu BLE na wysłanie krótkiego pakietu ISO, co prowadzi do odczytu poza zakresem bufora, a w przypadku fragmentacji do zapisu poza zakresem. Problem istnieje od wersji v2.6.0 do v4.4.0 i dotyczy konfiguracji z włączonym odbiorem ISO (CONFIG_BT_ISO_RX).

W stosie Bluetooth BR/EDR systemu Zephyr wykryto podatność polegającą na odczycie poza zakresem bufora w funkcji bt_sdp_parse_attribute(). Atakujący może wysłać specjalnie spreparowany rekord SDP o długości dokładnie 3 bajtów, co powoduje odczyt jednego bajtu poza koniec bufora. Problem występuje w wersjach 4.3.0 i 4.4.0, a został naprawiony przez dodanie odpowiedniego sprawdzenia długości.

W sterowniku Bluetooth Classic Hands-Free Profile (HFP) w Zephyr OS wykryto podatność polegającą na zapisie poza dozwolonym zakresem pamięci. Funkcja cind_handle_values() nie sprawdza, czy indeks tablicy ind_table[] (20 elementów) nie przekracza jej rozmiaru, co pozwala zdalnemu atakującemu (złośliwemu urządzeniu AG) na zapisanie kontrolowanej wartości poza tablicą, powodując uszkodzenie pamięci i potencjalnie odmowę usługi stosu Bluetooth.

W Zephyr'owym stosie IPv6 wykryto podatność use-after-free w funkcjach wysyłających komunikaty Neighbor Discovery (NA, NS, RS). Po udanym wysłaniu pakietu, kod odwołuje się do już zwolnionej struktury pakietu, co może prowadzić do awarii systemu lub potencjalnego uszkodzenia pamięci.

W stosie IPv4 systemu Zephyr wykryto podatność use-after-free w funkcji icmpv4_handle_echo_request(). Po wysłaniu odpowiedzi ICMP Echo Reply, kod odczytuje wskaźnik interfejsu z już zwolnionego pakietu, co może prowadzić do odczytu pamięci lub zapisu przez nieprawidłowy wskaźnik. Problem występuje od wersji v1.14 (2019) do v4.4.0.

W stosie sieciowym Zephyra (subsys/net/ip/icmpv6.c) występuje podatność use-after-free podczas obsługi pakietów ICMPv6. Po wysłaniu odpowiedzi na żądanie echa (ping) lub błędu ICMPv6, funkcje odczytują interfejs sieciowy z już zwolnionego pakietu, co prowadzi do dereferencji wskaźnika po zwolnieniu pamięci.

W stosie sieciowym Zephyr w funkcji mld_send() odczytano interfejs sieciowy z pakietu po jego zwolnieniu przez sterownik L2. Może to prowadzić do odczytu zwolnionej pamięci, a w przypadku współbieżnej realokacji do wywołania pustego wskaźnika (NULL-pointer dereference) lub uszkodzenia pamięci.

W implementacji IGMP dla IPv4 w systemie Zephyr występuje podatność use-after-free. Funkcja igmp_send() odczytuje wskaźnik interfejsu sieciowego z pakietu po jego wysłaniu, co może prowadzić do użycia zwolnionej pamięci. Problem dotyczy wersji od v2.6.0 do v4.4.0.

W Zephyr OS na platformach Xtensa z włączonym CONFIG_USERSPACE i CONFIG_XTENSA_MMU, funkcja arch_mem_domain_deinit() nie usuwa węzła domeny z globalnej listy xtensa_domain_list, co prowadzi do wiszącego wskaźnika. Kolejne operacje mapowania/odmapowania pamięci mogą wywołać dereferencję NULL lub use-after-free, powodując awarię systemu lub naruszenie izolacji przestrzeni użytkownika.

W stosie TCP Zephyra (TCP2) wykryto podatność use-after-free w funkcji net_tcp_foreach(). Funkcja ta iteruje globalną listę połączeń, zwalniając blokadę podczas wywoływania callbacku, co pozwala współbieżnemu wątkowi na usunięcie i zwolnienie pamięci następnego elementu listy. Po ponownym przejęciu blokady iterator odwołuje się do zwolnionej pamięci, co może prowadzić do awarii systemu (odmowa usługi) lub potencjalnego wycieku informacji.

Podatność przesunięcia bitowego w podsystemie PTP systemu Zephyr pozwala zdalnemu atakującemu wywołać niezdefiniowane zachowanie i potencjalne awarie systemu. Atakujący wysyła spreparowaną wiadomość PTP_MSG_MANAGEMENT, ustawiając niezweryfikowaną ujemną wartość log_announce_interval, co przy przetwarzaniu PTP_MSG_ANNOUNCE prowadzi do przesunięcia przekraczającego szerokość 64-bitowej liczby całkowitej.

W Zephyr gniazda utworzone z `IPPROTO_TLS_1_3` mogą negocjować połączenie TLS 1.2, gdy obie wersje TLS są włączone w Kconfig, ponieważ wybór protokołu na poziomie gniazda nie jest propagowany do mbedTLS. Aplikacje zakładające, że `IPPROTO_TLS_1_3` wymusza TLS 1.3, mogą w rezultacie używać TLS 1.2 i być narażone na specyficzne dla tej wersji słabości.

W sterowniku kryptograficznym Zephyr nieprawidłowo sformatowane odpowiedzi ATAES132A z nadmiernym polem długości przepełniają 52-bajtowy bufor stosu. Umożliwia to przejętemu urządzeniu lub atakującemu na magistrali uszkodzenie pamięci jądra i potencjalne przejęcie kontroli nad wykonaniem kodu.

Luka w stosie sieciowym Zephyr pozwala na błędną klasyfikację pakietu IPv4 zawierającego ICMP typu 128 jako żądania ICMPv6 Echo. Prowadzi to do odczytu poza granicami pamięci i potencjalnego wycieku informacji w podsystemie sieciowym.