Średni Odebrany

CVE-2026-19595

opublikowano: 20.10.2026, 01:17

modyfikacja: 20.10.2026, 22:17

Ocena CVSS

6.1

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Weryfikator wywołań systemowych w trybie użytkownika z_vrfy_rtio_cqe_get_mempool_buffer() w subsys/rtio/rtio_syscalls.c sprawdził swoje dwa parametry wyjściowe, buff i buff_len, za pomocą K_SYSCALL_MEMORY_READ() zamiast K_SYSCALL_MEMORY_WRITE(). Obydwa są czystymi parametrami wyjściowymi: z_impl_rtio_cqe_get_mempool_buffer() przechowuje za ich pośrednictwem adres bufora pamięci i jego długość. To rozróżnienie jest egzekwowane przez każdy walidator architektury — arch_buffer_validate() w RISC-V PMP jawnie akceptuje globalny __rom_region/__rodata_region tylko do odczytu, a walidatory ARM MPU akceptują regiony P_RO_U_RO i P_RW_U_RO tylko do odczytu — zatem wskaźnik zatwierdzony do odczytu niekoniecznie może być zapisywany przez wywołujący wątek.

Nieuprzywilejowany wątek trybu użytkownika, któremu przyznano dostęp do kontekstu RTIO (rtio_access_grant()) może wywołać wywołanie systemowe rtio_cqe_get_mempool_buffer() z buff/buff_len wskazującym na pamięć, którą może czytać, ale nie zapisywać, oraz z wpisem w kolejce zakończenia, którego pola flagi w pełni kontroluje (tylko RTIO_CQE_FLAG_MEMPOOL_BUFFER w wymagane są flagi [7:0]; flagi [19:8] i flagi [31:20] dostarczają indeksu i liczby bloków). Następnie jądro wykonuje zapis wielkości wskaźnika i 4-bajtowy poprzez te adresy, pracując w trybie nadzorcy. Dotarcie do sklepu wymaga CONFIG_USERSPACE wraz z CONFIG_RTIO_SYS_MEM_BLOCKS, konfiguracją za RTIO_DEFINE_WITH_MEMPOOL; bez tego ostatniego implementacja zwraca -ENOTSUP i nic nie zapisuje.

Następują dwa wyniki. Jeśli cel znajduje się na partycji domeny pamięci zadeklarowanej K_MEM_PARTITION_P_RW_U_RO (uprzywilejowany odczyt i zapis, tylko do odczytu użytkownika), zapis w trybie jądra powiedzie się i zdeponuje częściowo wybrane przez atakującego wartości w pamięci, którą domena pamięci oznaczyła dla tego wątku jako tylko do odczytu, omijając ochronę partycji przed zapisem. Jeśli cel znajduje się w pamięci globalnie czytelnej, ale niezapisywalnej, takiej jak .text/.rodata w pamięci flash, zapisywanie błędów w trybie jądra; błąd jest dostarczany do z_fatal_error(), a domyślna k_sys_fatal_error_handler() zatrzymuje lub restartuje urządzenie, dając nieuprzywilejowanemu wątkowi niezawodną pełną odmowę usługi.

Kontrola uprawnień do odczytu ogranicza szkody: adres musi być nadal czytelny dla wątku wywołującego, więc nie można atakować prywatnej pamięci jądra i nie ujawniać żadnych poufnych danych. Poprawka zastępuje oba sprawdzenia funkcją K_SYSCALL_MEMORY_WRITE(), więc wątek pozbawiony uprawnień do zapisu zostaje zakończony przez K_OOPS przed uruchomieniem implementacji; argument cqe poprawnie pozostaje zatwierdzony do odczytu.

The user-mode syscall verifier z_vrfy_rtio_cqe_get_mempool_buffer() in subsys/rtio/rtio_syscalls.c validated its two output parameters, buff and buff_len, with K_SYSCALL_MEMORY_READ() rather than K_SYSCALL_MEMORY_WRITE(). Both are pure out-parameters: z_impl_rtio_cqe_get_mempool_buffer() stores the mempool buffer address and its length through them. The distinction is enforced by every architecture validator — arch_buffer_validate() on RISC-V PMP explicitly accepts the global __rom_region/__rodata_region for reads only, and the ARM MPU validators accept P_RO_U_RO and P_RW_U_RO regions for reads only — so a read-validated pointer is not necessarily writable by the calling thread.

An unprivileged user-mode thread that has been granted access to an RTIO context (rtio_access_grant()) can invoke the rtio_cqe_get_mempool_buffer() syscall with buff/buff_len pointing at memory it may read but not write, and with a completion-queue entry whose flags field it fully controls (only RTIO_CQE_FLAG_MEMPOOL_BUFFER in flags[7:0] is required; flags[19:8] and flags[31:20] supply the block index and count). The kernel then performs a pointer-sized and a 4-byte store through those addresses while running in supervisor mode. Reaching the store requires CONFIG_USERSPACE together with CONFIG_RTIO_SYS_MEM_BLOCKS, the configuration behind RTIO_DEFINE_WITH_MEMPOOL; without the latter the implementation returns -ENOTSUP and writes nothing.

Two outcomes follow. If the target lies in a memory-domain partition declared K_MEM_PARTITION_P_RW_U_RO (privileged read-write, user read-only), the kernel-mode store succeeds and deposits partly attacker-chosen values into memory the memory domain had marked read-only for that thread, bypassing the partition's write protection. If the target lies in globally readable but unwritable memory such as .text/.rodata in flash, the store faults in kernel mode; the fault is delivered to z_fatal_error() and the default k_sys_fatal_error_handler() halts or reboots the device, giving an unprivileged thread a reliable full denial of service.

The read-permission check does bound the damage: the address must still be readable by the calling thread, so kernel-private memory cannot be targeted and no confidential data is disclosed. The fix replaces both checks with K_SYSCALL_MEMORY_WRITE(), so a thread lacking write permission is terminated by K_OOPS before the implementation runs; the cqe argument correctly remains read-validated.

>_ Słabości (CWE)

CWE-787 CWE-822

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve