Niski Oczekuje na analizę

CVE-2026-16512

opublikowano: 18.09.2026, 17:17

modyfikacja: 18.09.2026, 21:11

Ocena CVSS

3.1

Niski · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Funkcja gptp_handle_msg() w subsys/net/l2/ethernet/gptp/gptp.c wyłuskała nagłówek gPTP zwrócony przez GPTP_HDR() i włączyła hdr->message_type bez uprzedniego sprawdzenia, czy odebrana ramka zawiera co najmniej sizeof(struct gptp_hdr) (34) bajtów ładunku. Metoda dostępu nagłówka gptp_get_hdr() celowo nigdy nie zawodzi w przypadku krótkiego bufora — zwraca pkt->frags->data i pozostawia weryfikację swoim obiektom wywołującym — zatem obcięta ramka utworzyła wskaźnik nagłówka obejmujący pamięć poza odebranymi danymi. Poniższe sprawdzenia typu wiadomości nie kompensują: GPTP_VALID_LEN() zmniejsza się do len > 60 po pobraniu nagłówka Ethernet, co jest fałszywe w przypadku każdej wiadomości gPTP o stałym rozmiarze, więc GPTP_CHECK_LEN() nigdy nie odrzuca obciętego komunikatu SYNC, FOLLOWUP, PDELAY_RESP lub SIGNALING.

Wada zostaje osiągnięta przez nieuwierzytelnionego partnera na tym samym łączu, wysyłającego ramkę Ethernet o typie eteru 0x88F7 na adres multiemisji PTP na interfejsie skonfigurowanym jako port gPTP z włączoną opcją CONFIG_NET_GPTP. Ponieważ zgodne z Ethernetem ramki są przesyłane do 60 bajtów, ładunek krótszy niż 34 bajty zazwyczaj wymaga łącza, które może dostarczać ramki poniżej minimalnej — na przykład sterownik native_sim TAP (drivers/ethernet/eth_native_tap.c), który przekazuje dalej dowolną długość dostarczaną przez urządzenie hosta, lub adres MAC skonfigurowany do akceptowania niewymiarowych ramek.

Krótki pakiet jest zachowywany (net_pkt_ref() w rcvd_sync_ptr, rcvd_follow_up_ptr, rcvd_pdelay_resp_ptr lub rcvd_announce_ptr), a później analizowany przez maszyny stanu zależne i niezależne od mediów w subsys/net/l2/ethernet/gptp/gptp_md.c i subsys/net/l2/ethernet/gptp/gptp_mi.c, który odczytuje dziesiątki dalszych bajtów i kopiuje część z nich (wektor priorytetu ogłaszania, hdr->port_id) do stanu, który jest następnie przesyłany. W ramach domyślnego alokatora buforów o stałym rozmiarze (CONFIG_NET_BUF_FIXED_DATA_SIZE, fragmenty 128-bajtowe) dostępy pozostają wewnątrz przydzielonego fragmentu i ujawniają nieaktualną zawartość odzyskanego bufora; w ramach eksperymentalnego alokatora CONFIG_NET_BUF_VARIABLE_DATA_SIZE, w którym fragmenty są przydzielane na stercie dokładnie na taką samą długość ramki, są to rzeczywiste odczyty spoza zakresu. Nie ma zapisu ani wpływu na dostępność.

gptp_handle_msg() in subsys/net/l2/ethernet/gptp/gptp.c dereferenced the gPTP header returned by GPTP_HDR() and switched on hdr->message_type without first checking that the received frame carries at least sizeof(struct gptp_hdr) (34) bytes of payload. The header accessor gptp_get_hdr() deliberately never fails for a short buffer — it returns pkt->frags->data and leaves validation to its callers — so a truncated frame produced a header pointer covering memory beyond the received data. The per-message-type checks that follow do not compensate: GPTP_VALID_LEN() reduces to len > 60 once the Ethernet header has been pulled, which is false for every fixed-size gPTP message, so GPTP_CHECK_LEN() never rejects a truncated SYNC, FOLLOWUP, PDELAY_RESP or SIGNALING message.

The defect is reached by an unauthenticated peer on the same link sending an Ethernet frame with ethertype 0x88F7 to the PTP multicast address on an interface configured as a gPTP port, with CONFIG_NET_GPTP enabled. Because conformant Ethernet pads frames to 60 bytes, a payload shorter than 34 bytes generally requires a link that can deliver sub-minimum frames — for example the native_sim TAP driver (drivers/ethernet/eth_native_tap.c), which forwards whatever length the host device supplies, or a MAC configured to accept undersized frames.

The short packet is retained (net_pkt_ref() into rcvd_sync_ptr, rcvd_follow_up_ptr, rcvd_pdelay_resp_ptr or rcvd_announce_ptr) and later parsed by the media-dependent and media-independent state machines in subsys/net/l2/ethernet/gptp/gptp_md.c and subsys/net/l2/ethernet/gptp/gptp_mi.c, which read tens of further bytes and copy some of them (the announce priority vector, hdr->port_id) into state that is subsequently transmitted. Under the default fixed-size buffer allocator (CONFIG_NET_BUF_FIXED_DATA_SIZE, 128-byte fragments) the accesses stay inside the allocated fragment and disclose stale recycled buffer contents; under the experimental CONFIG_NET_BUF_VARIABLE_DATA_SIZE allocator, where fragments are heap-allocated at the exact frame length, they are genuine out-of-bounds reads. There is no write and no availability impact.

>_ Słabości (CWE)

CWE-125

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve