Wysoki Odebrany

CVE-2026-19186

opublikowano: 07.10.2026, 11:17

modyfikacja: 07.10.2026, 21:17

Ocena CVSS

8.1

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

ieee802154_decipher_data_frame() w subsys/net/l2/ieee802154/ieee802154_frame.c obliczony payload_len = net_pkt_get_len(pkt) - ll_hdr_len - authtag_len bez uprzedniego sprawdzenia, czy odebrana ramka ma długość co najmniej ll_hdr_len + authtag_len bajtów. Wszystkie trzy zmienne to uint8_t, więc ramka, której ładunek jest krótszy niż skonfigurowany znacznik uwierzytelniający, powoduje zawijanie odejmowania do dużej wartości (aż do 255).

Opakowana długość jest przekazywana bez zmian do ieee802154_decrypt_auth() i dalej do operacji CCM jako cipher_pkt.in_len/out_buf_max, ze znacznikiem apkt->wskazującym na ramkę + ll_hdr_len + payload_len. Ponieważ bufor odbiorczy jest przydzielany dokładnie na długość ramki otrzymanej ze sterownika radiowego, warstwa kryptograficzna odczytuje następnie kilkaset bajtów poza końcem bufora pakietu i zapisuje z powrotem na nim tę samą liczbę odszyfrowanych bajtów. Znacznik uwierzytelniający ramki jest weryfikowany dopiero po przetworzeniu, więc nie jest potrzebny żaden materiał klucza, powiązanie ani wcześniejsze uwierzytelnienie — wystarczy pojedyncza spreparowana krótka ramka z dowolnego urządzenia w zasięgu radiowym. Sprawdzanie poprawności ramki w ieee802154_validate_frame() nie zapobiega temu: ramka danych jest akceptowana z jednobajtowym ładunkiem.

Rezultatem jest odczyt poza granicami i zapis poza granicami do około 240 bajtów w sąsiedniej puli buforów sieciowych, co powoduje uszkodzenie innych pakietów lub metadanych alokatora i zazwyczaj powoduje błąd celu. Przekraczająca zawartość nie jest wybierana przez atakującego (jest to zaszyfrowany tekst klucza XOR przesyłany przez poza objętą pamięcią), a ramka jest odrzucana, gdy weryfikacja znacznika nie powiedzie się, więc głównym skutkiem jest uszkodzenie pamięci i odmowa usługi, a nie ujawnienie informacji.

Ekspozycja jest ograniczona do konfiguracji, które włączają eksperymentalną opcję CONFIG_NET_L2_IEEE802154_SECURITY, wybierają urządzenie kryptograficzne poprzez CONFIG_NET_L2_IEEE802154_SECURITY_CRYPTO_DEV_NAME i ustanawiają sesję bezpieczeństwa z poziomem innym niż IEEE802154_SECURITY_LEVEL_NONE; przy wyłączonych zabezpieczeniach lub na poziomie NONE długość znacznika wynosi zero i nie występuje niedopełnienie. Poprawka odrzuca ramki krótsze niż ll_hdr_len + authtag_len przed odjęciem i dodaje osłonę dopasowania po stronie nadawczej w ieee802154_create_data_frame().

ieee802154_decipher_data_frame() in subsys/net/l2/ieee802154/ieee802154_frame.c computed payload_len = net_pkt_get_len(pkt) - ll_hdr_len - authtag_len without first checking that the received frame is at least ll_hdr_len + authtag_len bytes long. All three variables are uint8_t, so a frame whose payload is shorter than the configured authentication tag makes the subtraction wrap around to a large value (up to 255).

The wrapped length is passed unchanged to ieee802154_decrypt_auth() and on to the CCM operation as cipher_pkt.in_len/out_buf_max, with apkt->tag pointing at frame + ll_hdr_len + payload_len. Because the receive buffer is allocated to the exact length of the frame received from the radio driver, the crypto layer then reads several hundred bytes past the end of the packet buffer and writes the same number of decrypted bytes back over it in place. The frame's authentication tag is only verified after this processing has taken place, so no key material, association or prior authentication is needed — a single crafted short frame from any device in radio range is sufficient. Frame validation in ieee802154_validate_frame() does not prevent it: a data frame is accepted with a one-byte payload.

The result is an out-of-bounds read and an out-of-bounds write of up to roughly 240 bytes into the adjacent network-buffer pool, corrupting other packets or allocator metadata and typically faulting the target. The out-of-bounds content is not attacker-chosen (it is ciphertext XOR keystream over out-of-bounds memory) and the frame is dropped when tag verification fails, so the primary impact is memory corruption and denial of service rather than information disclosure.

Exposure is limited to configurations that enable the experimental CONFIG_NET_L2_IEEE802154_SECURITY option, select a crypto device via CONFIG_NET_L2_IEEE802154_SECURITY_CRYPTO_DEV_NAME, and have established a security session with a level other than IEEE802154_SECURITY_LEVEL_NONE; with security disabled or at level NONE the tag length is zero and no underflow occurs. The fix rejects frames shorter than ll_hdr_len + authtag_len before the subtraction, and adds the matching guard on the transmit side in ieee802154_create_data_frame().

>_ Słabości (CWE)

CWE-191 CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve