Średni Odebrany

CVE-2026-15890

opublikowano: 22.09.2026, 00:16

modyfikacja: 22.09.2026, 21:41

Ocena CVSS

5.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Domyślny dostawca wartości jednorazowych AEAD dla modułu transformacji PSA Internal Trusted Storage, secure_storage_its_transform_aead_get_nonce() w subsys/secure_storage/src/its/transform/aead_get.c, przechowuje swój licznik nonce w niezsynchronizowanych zmiennych statycznych lokalnych funkcji (s_nonce i s_nonce_initialized). Każdy zapis ITS uzyskuje tutaj swoją wartość jednorazową AES-GCM lub ChaCha20-Poly1305 poprzez secure_storage_its_transform_to_store().

Ponieważ funkcja nie posiada blokady, dwa wątki ją wywołujące ścigają się jednocześnie na współdzielonych statystykach: ścieżka inicjalizacji (psa_generate_random(), po której następuje memcpy()) i nieatomowa ścieżka inkrementacji, a następnie kopiowania może przekazać tę samą wartość jednorazową dwóm odrębnym operacjom szyfrowania i może utracić przyrosty, w związku z czym licznik powtarza wartości, których nigdy nie miał powtarzać. Warstwa ITS (secure_storage_its_set() w subsys/secure_storage/src/its/implementation.c) nie wykonuje własnej serializacji, więc równoczesne zapisy tego samego UID docierają bezpośrednio do dostawcy Racy.

Ponowne użycie elementu jednorazowego z tym samym kluczem w AES-GCM lub ChaCha20-Poly1305 jest katastrofalną awarią AEAD: powoduje wyciek XOR dwóch tekstów jawnych (ITS rutynowo przechowuje sekrety, w tym trwałe klucze PSA), a w przypadku GCM ujawnia klucz uwierzytelniający, umożliwiając fałszowanie przechowywanych wpisów. Ponieważ klucz AEAD jest wyprowadzany na podstawie UID wpisu, kolizja istotna dla bezpieczeństwa polega na tym, że dwa równoczesne zapisy do tego samego UID otrzymują tę samą wartość jednorazową; przeciwnik, który jest w stanie odczytać surową pamięć zapasową, może następnie wykorzystać ponowne wykorzystanie.

Zarówno zaplecze sklepu ITS dostarczane z Zephyr, zms.c, jak i zaplecze ustawień/NVS w pliku settings.c, to magazyny flash o strukturze dziennika z odroczonym usuwaniem elementów bezużytecznych, więc wpis zastąpiony przez ponowne zapisanie pozostaje fizycznie obecny na partycji do czasu odzyskania sektora. Dwa takie same UID piszą, że rasa pozostawia zatem oba szyfrogramy czytelne na surowym obrazie na raz, co jest warunkiem, aby ponowne użycie jednorazowe było możliwe do wykorzystania. Wyzwalacz pozostaje wąski: obaj wbudowani dostawcy kluczy (DEVICE_ID_HASH i ENTRY_UID_HASH) dodają klucz pochodny do wpisu UID, więc ponowne użycie w różnych UID jest nieszkodliwe, a narażenie wymaga aplikacji, która zapisuje ten sam UID jednocześnie z dwóch wątków.

Poprawka serializuje dostawcę z wartością K_MUTEX_DEFINE(s_nonce_mutex) przechowywaną na czas generowania wartości jednorazowej.

The default AEAD nonce provider for the PSA Internal Trusted Storage transform module, secure_storage_its_transform_aead_get_nonce() in subsys/secure_storage/src/its/transform/aead_get.c, stores its nonce counter in unsynchronized function-local static variables (s_nonce and s_nonce_initialized). Every ITS write obtains its AES-GCM or ChaCha20-Poly1305 nonce here via secure_storage_its_transform_to_store().

Because the function held no lock, two threads calling it concurrently race on the shared statics: the initialization path (psa_generate_random() followed by memcpy()) and the non-atomic increment-then-copy path can each hand the same nonce value to two distinct encryption operations, and can lose increments so the counter repeats values it was designed never to repeat. The ITS layer (secure_storage_its_set() in subsys/secure_storage/src/its/implementation.c) performs no serialization of its own, so concurrent same-UID writes reach the racy provider directly.

Reusing a nonce with the same key under AES-GCM or ChaCha20-Poly1305 is a catastrophic AEAD failure: it leaks the XOR of the two plaintexts (ITS routinely stores secrets, including PSA persistent keys) and, for GCM, exposes the authentication key, enabling forgery of stored entries. Because the AEAD key is derived per entry UID, the security-relevant collision is two concurrent writes to the same UID both receiving the same nonce; an adversary able to read the raw backing storage can then exploit the reuse.

Both ITS store back-ends shipped with Zephyr, zms.c and the settings/NVS back-end in settings.c, are log-structured flash stores with deferred garbage collection, so an entry superseded by a rewrite remains physically present in the partition until its sector is reclaimed. Two same-UID writes that race therefore leave both ciphertexts readable in the raw image at once, which is the condition the nonce reuse needs to be exploitable. The trigger remains narrow: both built-in key providers (DEVICE_ID_HASH and ENTRY_UID_HASH) salt the derived key with the entry UID, so reuse across different UIDs is harmless, and the exposure requires an application that writes the same UID concurrently from two threads.

The fix serializes the provider with a K_MUTEX_DEFINE(s_nonce_mutex) held for the duration of nonce generation.

>_ Słabości (CWE)

CWE-323 CWE-362

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve