Średni Oczekuje na analizę

CVE-2026-16515

opublikowano: 18.09.2026, 17:17

modyfikacja: 18.09.2026, 21:11

Ocena CVSS

4.7

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

net_icmpv6_send_error() w subsys/net/ip/icmpv6.c zaimplementowała tylko jedną z trzech reguł tłumienia RFC 4443 sekcja 2.4 (nie odpowiadaj na błąd ICMPv6 błędem ICMPv6). Nie sprawdzało, czy adres źródłowy pakietu wyzwalającego identyfikuje pojedynczy węzeł (reguła e.6) ani czy pakiet został wysłany do miejsca docelowego multiemisji (reguła e.3, którego jedynymi wyjątkami są Packet Too Big i Parameter Problem Code 2). Z pięciu miejsc połączeń tylko ścieżka nieosiągalnego portu w subsys/net/ip/connection.c posiadała własną, równoważną ochronę; ścieżki rozszerzenia-nagłówka, nieznanego-następnego nagłówka i ścieżki fragmentacji w subsys/net/ip/ipv6.c i subsys/net/ip/ipv6_fragment.c nie miały żadnych.

Nieuwierzytelniony atakujący mający dostęp do tego samego łącza może wykorzystać to na dwa sposoby. Wysłanie pojedynczego pakietu IPv6 do lokalnej grupy wszystkich węzłów ff02::1 zawierającej nierozpoznaną wartość następnego nagłówka, z adresem źródłowym sfałszowanym do wybranej ofiary, powoduje, że każdy węzeł Zephyr na łączu wysyła do tej ofiary komunikat o problemie z parametrem ICMPv6 — reflektor ze współczynnikiem wzmocnienia równym liczbie węzłów. Alternatywnie, wysłanie pakietu emisji pojedynczej, którego adresem źródłowym jest adres multiemisji, powoduje, że węzeł przesyła swój błąd ICMPv6 na ten adres multiemisji, zamieniając jeden pakiet emisji pojedynczej w ramkę multiemisji zalewaną łączami. Pakiety adresowane do ff02::1 są akceptowane bezwarunkowo przez ipv6_input() i żadna kontrola nie odrzuca adresu źródłowego multiemisji, więc nie jest wymagana żadna specjalna konfiguracja.

Skutkiem jest obniżona dostępność udostępnionego łącza i ofiary odbicia, a także możliwość ukrycia własnego adresu przez atakującego za odpowiadającymi węzłami. Efekt jest wzmocniony w przypadku ograniczonych łączy typu mesh, takich jak 802.15.4/Thread, gdzie rozsyłanie grupowe lokalne dla łącza jest zalewane przeskok po przeskoku. Nie ma to żadnego wpływu na bezpieczeństwo pamięci: sam pakiet błędów jest dobrze uformowany, jest po prostu emitowany w przypadkach, gdy protokół tego zabrania.

Poprawka dodaje obie kontrole tłumienia w pojedynczym punkcie dławika w funkcji net_icmpv6_send_error(), przed przydzieleniem jakiegokolwiek pakietu odpowiedzi, zachowując wymagane przez RFC wyjątki dla NET_ICMPV6_PACKET_TOO_BIG i parametru problemu kodu 2. Należy zauważyć, że odpowiednik protokołu IPv4 net_icmpv4_send_error() w subsys/net/ip/icmpv4.c nadal sprawdza tylko miejsce docelowe emisji i zachowuje równoważną lukę dla miejsc docelowych multiemisji i nieunikalnych źródeł.

net_icmpv6_send_error() in subsys/net/ip/icmpv6.c implemented only one of the three RFC 4443 section 2.4 suppression rules (do not answer an ICMPv6 error with an ICMPv6 error). It did not check whether the triggering packet's source address identifies a single node (rule e.6) or whether the packet was sent to a multicast destination (rule e.3, whose only exceptions are Packet Too Big and Parameter Problem Code 2). Of the five call sites, only the port-unreachable path in subsys/net/ip/connection.c carried an equivalent guard of its own; the extension-header, unknown-next-header and fragmentation paths in subsys/net/ip/ipv6.c and subsys/net/ip/ipv6_fragment.c had none.

An unauthenticated attacker with access to the same link can exploit this in two ways. Sending a single IPv6 packet to the link-local all-nodes group ff02::1 carrying an unrecognized next-header value, with the source address spoofed to a chosen victim, causes every Zephyr node on the link to emit an ICMPv6 Parameter Problem message to that victim — a reflector with an amplification factor equal to the number of nodes. Alternatively, sending a unicast packet whose source address is a multicast address causes the node to transmit its ICMPv6 error to that multicast address, turning one unicast packet into a link-flooded multicast frame. Packets addressed to ff02::1 are accepted unconditionally by ipv6_input(), and no check rejects a multicast source address, so no special configuration is required.

The impact is degraded availability of the shared link and of the reflection victim, together with the ability for the attacker to hide its own address behind the responding nodes. The effect is amplified on constrained mesh links such as 802.15.4/Thread, where link-local multicast is flooded hop by hop. There is no memory-safety consequence: the error packet itself is well formed, it is simply emitted in cases where the protocol forbids it.

The fix adds both suppression checks at the single choke point in net_icmpv6_send_error(), before any reply packet is allocated, preserving the RFC-mandated exceptions for NET_ICMPV6_PACKET_TOO_BIG and Parameter Problem Code 2. Note that the IPv4 counterpart net_icmpv4_send_error() in subsys/net/ip/icmpv4.c still checks only for a broadcast destination and retains an equivalent gap for multicast destinations and non-unique sources.

>_ Słabości (CWE)

CWE-406

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve