Wysoki Odebrany

CVE-2026-16513

opublikowano: 28.09.2026, 23:17

modyfikacja: 28.09.2026, 23:17

Ocena CVSS

7.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Weryfikator przestrzeni użytkownika z_vrfy_rtio_sqe_copy_in_get_handles() w subsys/rtio/rtio_syscalls.c (subsys/rtio/rtio_handlers.c przed wersją 4.3.0) sprawdził uchwyt obiektu RTIO i tablicę wejściową sqes, ale nie parametr out uchwytu. Podczas pierwszej iteracji pętli wykonał *handle = sqe, przechowując adres jądra nowo uzyskanego wpisu w kolejce przesyłania poprzez wskaźnik pobrany dosłownie z trybu użytkownika, bez sprawdzania K_SYSCALL_MEMORY_WRITE przed nim.

Każdy wątek trybu użytkownika, któremu przyznano obiekt jądra struct rtio, może wywołać wywołanie systemowe z dowolnym adresem w uchwycie. Jest to zwykły sposób, w jaki nieuprzywilejowany wątek korzysta z API RTIO, na przykład poprzez sensor_read_async_mempool() lub asynchroniczne pomocniki ADC, które wywołują wewnętrznie rtio_sqe_copy_in_get_handles(). Sklep działa w trybie nadzorcy przed jakąkolwiek walidacją wpisu, więc jest uruchamiany niezależnie od tego, czy zawartość SQE zostanie później odrzucona. Dotyczy to tylko kompilacji z CONFIG_USERSPACE i CONFIG_RTIO; bez CONFIG_USERSPACE weryfikator nie jest skompilowany i osoba wywołująca jest już uprzywilejowana.

Adres zapisu jest w całości wybierany przez atakującego, a zapisana wartość jest wskaźnikiem do własnego pierścienia RTIO osoby wywołującej, którego zawartość kontroluje osoba wywołująca (poniższe *sqe = sqes[i] kopiuje dostarczoną przez atakującego strukturę rtio_sqe do tego gniazda). Daje to prymityw zapisu typu „co-gdzie”, umieszczający wskaźnik do danych kontrolowanych przez atakującego pod dowolnym adresem jądra, wystarczający do uszkodzenia wskaźników funkcji jądra, struktur wątków lub tablic partycji domeny pamięci, a tym samym do eskalacji z trybu użytkownika do trybu jądra, pokonując granicę izolacji, którą ma egzekwować CONFIG_USERSPACE. Jest to co najmniej niezawodny prymitywny sposób na uszkodzenie pamięci jądra i awarię. Reporter odtworzył zapis na qemu_x86: wątek K_USER zmienił globalny wskaźnik nadzorcy z NULL na aktywny wskaźnik SQE jądra.

Poprawka dodaje K_SYSCALL_MEMORY_WRITE(uchwyt, rozmiar(*uchwyt)) (chroniony przez istniejącą semantykę opcjonalną - NULL) przed pętlą, więc miejsce docelowe musi znajdować się w zapisywalnej domenie pamięci wywołującego wątku, w przeciwnym razie wątek zostanie zakończony przez K_OOPS. Sąsiedni weryfikator z_vrfy_rtio_cqe_get_mempool_buffer(), który sprawdzał parametry zewnętrzne buff/buff_len tylko do odczytu, chociaż implementacja za ich pośrednictwem zapisuje, został osobno ulepszony przez bea93400138 („rtio: wywołania systemowe: sprawdź parametry wyjściowe jako możliwe do zapisu”); ta reszta była istotnie słabsza, ponieważ kontrola odczytu nadal ogranicza cel do własnej domeny pamięci osoby wywołującej.

The userspace verifier z_vrfy_rtio_sqe_copy_in_get_handles() in subsys/rtio/rtio_syscalls.c (subsys/rtio/rtio_handlers.c before v4.3.0) validated the RTIO object handle and the sqes input array, but not the handle out-parameter. On the first loop iteration it executed *handle = sqe, storing the kernel address of the newly acquired submission-queue entry through a pointer taken verbatim from user mode, with no K_SYSCALL_MEMORY_WRITE check in front of it.

Any user-mode thread that has been granted a struct rtio kernel object can invoke the syscall with an arbitrary address in handle. That is the ordinary way an unprivileged thread uses the RTIO API, for example via sensor_read_async_mempool() or the async ADC helpers, which call rtio_sqe_copy_in_get_handles() internally. The store happens in supervisor mode before any submission-entry validation, so it fires regardless of whether the SQE contents are subsequently rejected. Only builds with CONFIG_USERSPACE and CONFIG_RTIO are affected; without CONFIG_USERSPACE the verifier is not compiled and the caller is already privileged.

The write address is fully attacker-chosen and the written value is a pointer into the caller's own RTIO ring, whose contents the caller controls (the following *sqe = sqes[i] copies an attacker-supplied struct rtio_sqe into that slot). This yields a write-what-where primitive placing a pointer to attacker-controlled data at any kernel address, sufficient to corrupt kernel function pointers, thread structures, or memory-domain partition tables, and thus to escalate from user mode to kernel mode, defeating the isolation boundary CONFIG_USERSPACE is meant to enforce. At minimum it is a reliable kernel memory-corruption and crash primitive. The reporter reproduced the write on qemu_x86: a K_USER thread changed a supervisor global from NULL to a live kernel SQE pointer.

The fix adds K_SYSCALL_MEMORY_WRITE(handle, sizeof(*handle)) (guarded by the existing optional-NULL semantics) before the loop, so the destination must lie in the calling thread's writable memory domain or the thread is terminated by K_OOPS. The neighbouring verifier z_vrfy_rtio_cqe_get_mempool_buffer(), which checked its buff/buff_len out-parameters only for read although the implementation writes through them, was hardened separately by bea93400138 ("rtio: syscalls: validate output params as writable"); that residual was materially weaker, since a read check still confines the target to the caller's own memory domain.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve