Wysoki Odebrany

CVE-2026-19569

opublikowano: 09.10.2026, 10:16

modyfikacja: 09.10.2026, 20:17

Ocena CVSS

8.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

dynamic_object_create() w kernel/userspace/userspace.c obliczyła alokację zapasową dla dynamicznie alokowanego obiektu jądra jako obj_size_get(otype) + size, a dla elementów stosu wątku jako STACK_ELEMENT_DATA_SIZE(size) (zaokrąglenie plus stały narzut), bez sprawdzania któregokolwiek wyrażenia pod kątem zawijania bez znaku. Rozmiar bliski SIZE_MAX powoduje, że obliczone całkowite zawijanie ma bardzo małą wartość, więc przekazywany fragment sterty ma kilka bajtów, podczas gdy deskryptor obiektu jest nadal oznaczony pełnym żądanym typem i zarejestrowany w tabeli obiektów jądra.

Argument rozmiaru osiąga tę arytmetykę bezpośrednio z trybu użytkownika. k_object_alloc_size() jest zadeklarowana jako __syscall w include/zephyr/sys/kobject.h, jej weryfikator z_vrfy_k_object_alloc_size() w kernel/userspace/userspace_handler.c jest czystym przejściem, a z_object_alloc() sprawdza tylko typ typu — nic nie ogranicza rozmiaru. Gałąź elementów stosu jest dodatkowo dostępna poprzez wywołanie systemowe k_thread_stack_alloc() poprzez kernel/dynamic.c. Ponieważ późniejsza walidacja obiektu jądra sprawdza tylko typ obiektu i stan inicjalizacji, niewymiarowy uchwyt przekazuje K_SYSCALL_OBJ_INIT()/K_SYSCALL_OBJ_NEVER_INIT(), a pasujące init syscall (na przykład k_mutex_init(), k_sem_init() lub k_thread_create()) następnie zapisuje cały obiekt w obciętej alokacji.

Nieuprzywilejowany wątek trybu użytkownika może zatem wyzwolić zapis poza granicami w trybie nadzorcy do sterty puli zasobów jądra o rozmiarze i zawartości, którą zasadniczo kontroluje, uszkadzając metadane fragmentu sys_heap i sąsiednie obiekty jądra. W CONFIG_GEN_PRIV_STACKS gałąź stosu wątków dodatkowo przechowuje dziki wskaźnik będący pod wpływem atakującego jako uprzywilejowaną bazę stosu wątku użytkownika. Praktycznym rezultatem jest ucieczka z piaskownicy CONFIG_USERSPACE — wykonanie kodu na poziomie jądra lub przy minimalnym uszkodzeniu pamięci jądra i kompromisie systemu.

Eksploatacja wymaga CONFIG_USERSPACE wraz z CONFIG_DYNAMIC_OBJECTS (również wybranych przez CONFIG_DYNAMIC_THREAD w przestrzeni użytkownika) i wątku wywołującego z przypisaną pulą zasobów. Poprawka odrzuca oba przepełnione obliczenia i zwalnia częściowo zbudowany deskryptor.

dynamic_object_create() in kernel/userspace/userspace.c computed the backing allocation for a dynamically allocated kernel object as obj_size_get(otype) + size, and for thread stack elements as STACK_ELEMENT_DATA_SIZE(size) (a round-up plus fixed overhead), without checking either expression for unsigned wrap-around. A size close to SIZE_MAX makes the computed total wrap to a very small value, so the heap chunk handed out is a few bytes while the object descriptor is still tagged with the full requested type and registered in the kernel object table.

The size argument reaches that arithmetic directly from user mode. k_object_alloc_size() is declared __syscall in include/zephyr/sys/kobject.h, its verifier z_vrfy_k_object_alloc_size() in kernel/userspace/userspace_handler.c is a bare pass-through, and z_object_alloc() only range-checks otype — nothing bounds size. The stack-element branch is additionally reachable through the k_thread_stack_alloc() syscall via kernel/dynamic.c. Because subsequent kernel-object validation checks only the object's type and initialization state, the undersized handle passes K_SYSCALL_OBJ_INIT()/K_SYSCALL_OBJ_NEVER_INIT(), and the matching init syscall (for example k_mutex_init(), k_sem_init(), or k_thread_create()) then writes a complete object over the truncated allocation.

An unprivileged user-mode thread can therefore trigger a supervisor-mode out-of-bounds write into the kernel resource-pool heap, of a size and content it substantially controls, corrupting sys_heap chunk metadata and adjacent kernel objects. Under CONFIG_GEN_PRIV_STACKS the thread-stack branch additionally stores an attacker-influenced wild pointer as a user thread's privileged stack base. The practical result is escape from the CONFIG_USERSPACE sandbox — kernel-level code execution or at minimum kernel memory corruption and system compromise.

Exploitation requires CONFIG_USERSPACE together with CONFIG_DYNAMIC_OBJECTS (also selected by CONFIG_DYNAMIC_THREAD under userspace), and a calling thread with an assigned resource pool. The fix rejects both overflowing computations and frees the partially built descriptor.

>_ Słabości (CWE)

CWE-190

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve