Niski Odebrany

CVE-2026-18416

opublikowano: 28.09.2026, 23:17

modyfikacja: 28.09.2026, 23:17

Ocena CVSS

3.7

Niski · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Pomocnik formatu łącza CoAP match_path_uri() w subsys/net/lib/coap/coap_link_format.c porównuje zarejestrowaną ścieżkę zasobu z identyfikatorem URI przenoszonym w opcji Uri-Query href=. Ten identyfikator URI nie jest zakończony NUL, ale wewnętrzna pętla znakowa zwiększa swój indeks k raz na znak ścieżki, nigdy nie testując go pod kątem długości opcji len. Kiedy zarejestrowany segment ścieżki jest dłuższy niż podany URI i URI jest jego przedrostkiem, pętla odczytuje wartość uri[len] i dalej, poza końcem wartości opcji.

Ścieżka jest osiągana z coap_well_known_core_get_len() i coap_well_known_core_get() poprzez match_queries_resource(), czyli przez dowolne nieuwierzytelnione żądanie GET /.well-known/core?href=/<prefix> do urządzenia obsługującego /.well-known/core (dla podsystemu serwera CoAP, CONFIG_COAP_SERVER_WELL_KNOWN_CORE, domyślnie y) i ma co najmniej jeden zasób, który deklaruje atrybuty struktury coap_core_metadata.

Nadczytanie nie dociera do bufora odbiorczego. Dobrze znani twórcy rdzenia analizują zapytanie do lokalnej struktury stosu coap_option, której wartością jest stała tablica (wartość [12] lub bajty CONFIG_COAP_EXTENDED_OPTIONS_LEN_VALUE), do której kopiowane są bajty opcji, więc uri wskazuje na tę kopię. Dlatego odczytanie przeszłości len powoduje odczytanie nieużywanego, niezainicjowanego końca tablicy, a gdy opcja go zapełni, bajty znajdujące się tuż za nim w tej samej ramce stosu. (W bibliotece ZoAP w wersjach od 1.8.0 do 1.9.x wartość opcji była zamiast tego wskaźnikiem do odebranego pakietu, a nadmierny odczyt przekroczył opcję w buforze pakietu.)

Wpływ jest ograniczony. Liczba bajtów odczytanych za końcem jest ograniczona długością segmentu ścieżki zasobu, a każdy dodatkowy bajt jest odczytywany tylko wtedy, gdy jest równy następnemu znakowi ścieżki, więc w praktyce nadmierny odczyt wynosi jeden bajt. Nie może to również wpłynąć na odpowiedź: zwrócenie dopasowania wymaga, aby końcowy porównywany indeks miał wartość len - 1 lub len, oba w granicach, więc bajty spoza zakresu kierują pętlę tylko do następnego kandydującego zasobu. Konsekwencją jest niezdefiniowane zachowanie, a nie ujawnienie informacji i błąd dopasowania.

Poprawka dodaje osłonę k >= len na górze wewnętrznej pętli, więc każde wyłuskanie uri[k] mieści się w wartości opcji, jednocześnie umożliwiając końcowemu * symbolowi wieloznacznemu dopasowanie dłuższej ścieżki.

The CoAP link-format helper match_path_uri() in subsys/net/lib/coap/coap_link_format.c compares a registered resource path against the URI carried in a Uri-Query href= option. That URI is not NUL terminated, but the inner character loop advanced its index k once per path character without ever testing it against the option length len. When a registered path segment is longer than the supplied URI and the URI is a prefix of it, the loop reads uri[len] and beyond, past the end of the option value.

The path is reached from coap_well_known_core_get_len() and coap_well_known_core_get() via match_queries_resource(), i.e. by any unauthenticated GET /.well-known/core?href=/<prefix> request to a device that serves /.well-known/core (for the CoAP server subsystem, CONFIG_COAP_SERVER_WELL_KNOWN_CORE, default y) and has at least one resource that declares struct coap_core_metadata attributes.

The over-read does not reach the receive buffer. The well-known-core builders parse the query into a stack-local struct coap_option, whose value is a fixed array (value[12], or CONFIG_COAP_EXTENDED_OPTIONS_LEN_VALUE bytes) that the option bytes are copied into, so uri points into that copy. Reading past len therefore reads the unused, uninitialized tail of the array and, when the option fills it, the bytes just past it in the same stack frame. (In the ZoAP library of v1.8.0 to v1.9.x the option value was instead a pointer into the received packet, and the over-read ran past the option inside the packet buffer.)

The impact is bounded. The number of bytes read past the end is limited by the length of the resource path segment, and each additional byte is only read if it happens to equal the next path character, so in practice the over-read is one byte. It also cannot influence the response: returning a match requires the final compared index to be len - 1 or len, both in bounds, so out-of-bounds bytes only ever steer the loop to the next candidate resource. The consequence is undefined behaviour, not information disclosure and not a matching error.

The fix adds a k >= len guard at the top of the inner loop, so every uri[k] dereference is within the option value while still allowing a trailing * wildcard to match a longer path.

>_ Słabości (CWE)

CWE-125

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve