Średni Oczekuje na analizę

CVE-2026-16514

opublikowano: 18.09.2026, 17:17

modyfikacja: 18.09.2026, 21:11

Ocena CVSS

4.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

gptp_mi_qualify_announce() w subsys/net/l2/ethernet/gptp/gptp_mi.c przegląda ścieżkę TLV śledzenia odebranej wiadomości IEEE 802.1AS Announce, porównując każdą tożsamość zegara z lokalną. Pętla została pobrana wyłącznie z kontrolowanego przez atakującego pola przewodowego ogłoszenie->steps_removed (zaakceptowano do 254), nigdy z pola ogłoszeniowego->tlv.len, które określa, ile tożsamości faktycznie przenosi TLV. Ponieważ path_sequence jest elastycznym elementem łącza TLV (struct gptp_path_trace_tlv), a GPTP_ANNOUNCE() daje surowy wskaźnik do bufora odebranych pakietów, memcmp() wewnątrz pętli może adresować pamięć znacznie po zakończeniu odebranej ramki.

Jedyna weryfikacja długości stosu, GPTP_ANNOUNCE_CHECK_LEN(), wymaga, aby otrzymany ładunek gPTP miał dokładnie 68 + tlv.len bajtów — więc nie ogranicza pętli, a gwarantuje brak danych. Nieuwierzytelniony atakujący w tym samym segmencie sieci Ethernet może wysłać pojedynczą ramkę ogłoszenia, deklarując tlv.len = 0 z kroki_removed = 254; ramka przechodzi kontrolę długości i ścieżkę odbioru (net_gptp_recv() → gptp_handle_msg() → gptp_mi_qualify_announce()), która nie przeprowadza uwierzytelnienia, a następnie pętla odczytuje 255 wpisów po 8 bajtów każdy — około 2 KB — poza końcem bufora sieciowego.

Efektem jest odczyt wykraczający poza zakres. Odczytane bajty są używane jedynie jako operand memcmp() i nigdy nie są zwracane atakującemu, więc nie dochodzi do ujawnienia znaczących informacji; praktyczne ryzyko polega na tym, że overread przekroczy granicę puli buforów sieciowych do pamięci niezamapowanej lub chronionej przez MPU i spowoduje uszkodzenie sieciowego wątku RX, powodując odmowę usługi. Narażenie jest ograniczone do kompilacji umożliwiających opcjonalną, eksperymentalną CONFIG_NET_GPTP (wdrożenia TSN/AVB) oraz do atakujących z przyleganiem warstwy 2, ponieważ ramki gPTP są wysyłane na lokalny adres multiemisji łącza i nie są kierowane.

Poprawka oblicza prawdziwą liczbę wpisów jako tlv.len / GPTP_CLOCK_ID_LEN i odrzuca ogłoszenie, gdy liczba kroków_removed + 1 przekracza tę liczbę, więc pętla nie może już przebiegać obok danych, które wykazały obecność kontroli długości pakietu.

gptp_mi_qualify_announce() in subsys/net/l2/ethernet/gptp/gptp_mi.c walks the Path Trace TLV of a received IEEE 802.1AS Announce message, comparing each clock identity against the local one. The loop bound was taken solely from the attacker-controlled wire field announce->steps_removed (accepted up to 254), never from announce->tlv.len, which is the field that states how many identities the TLV actually carries. Because path_sequence is the flexible member of the wire TLV (struct gptp_path_trace_tlv) and GPTP_ANNOUNCE() yields a raw pointer into the received packet buffer, the memcmp() inside the loop can address memory well past the end of the received frame.

The stack's only length validation, GPTP_ANNOUNCE_CHECK_LEN(), requires the received gPTP payload to be exactly 68 + tlv.len bytes — so it does not constrain the loop, it guarantees the data is absent. An unauthenticated attacker on the same Ethernet segment can send a single Announce frame declaring tlv.len = 0 with steps_removed = 254; the frame passes the length check and reception path (net_gptp_recv() → gptp_handle_msg() → gptp_mi_qualify_announce()), which performs no authentication, and the loop then reads 255 entries of 8 bytes each — about 2 KB — beyond the end of the network buffer.

The impact is an out-of-bounds read. The bytes read are only used as a memcmp() operand and are never returned to the attacker, so there is no meaningful information disclosure; the practical risk is that the overread crosses a network buffer pool boundary into unmapped or MPU-protected memory and faults the networking RX thread, causing a denial of service. Exposure is limited to builds that enable the opt-in, experimental CONFIG_NET_GPTP (TSN/AVB deployments) and to attackers with layer-2 adjacency, since gPTP frames are sent to a link-local multicast address and are not routed.

The fix computes the true entry count as tlv.len / GPTP_CLOCK_ID_LEN and rejects the announce when steps_removed + 1 exceeds it, so the loop can no longer run past the data the packet-length check proved present.

>_ Słabości (CWE)

CWE-125

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve