Wysoki Odebrany

CVE-2026-19669

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

7.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Weryfikatory wywołań systemowych trybu użytkownika z_vrfy_fuel_gauge_get_props() i z_vrfy_fuel_gauge_set_props() w sterownikach/fuel_gauge/fuel_gauge_syscall_handlers.c zadeklarowały dwie tablice o zmiennej długości, union Fuel_gauge_prop_val k_vals[len] i Fuel_gauge_prop_t k_props[len], którego rozmiar jest ustalany bezpośrednio na podstawie argumentu len dostarczonego przez osobę wywołującą. len to niesprawdzony rozmiar size_t pobrany bezpośrednio z ABI wywołania systemowego, a VLA zostały przydzielone przed jakimkolwiek sprawdzeniem — w tym przed sprawdzeniem uprawnień do obiektu K_SYSCALL_DRIVER_FUEL_GAUGE(). Kolejne wywołania k_usermode_from_copy() sprawdzały tylko, czy bufor źródłowy użytkownika był czytelny; miejsce docelowe jądra nigdy nie było sprawdzane pod kątem granic, ponieważ jego rozmiar był taki sam, wybrany przez atakującego.

Każdy wątek działający w trybie użytkownika z włączoną funkcją CONFIG_USERSPACE może wywołać funkcję Fuel_gauge_get_props() lub Fuel_gauge_set_props() z dużą długością. To najpierw przesuwa wskaźnik stosu nadzorcy o dowolną wielkość wybraną przez atakującego — Zephyr nie buduje przy użyciu sondowania kolizji stosów, więc samo przemieszczenie nie powoduje błędu, a zagnieżdżone wywołania wykonane przez weryfikator zapisują następnie ramki poniżej uprzywilejowanego stosu. Jeśli wywołujący uzyskał dostęp do obiektu urządzenia wskazującego poziom paliwa, memcpy wewnątrz k_usermode_from_copy() dodatkowo zapisuje len * sizeof(union Fuel_gauge_prop_val) bajtów danych w pełni kontrolowanych przez atakującego, zaczynając znacznie poniżej podstawy stosu. CONFIG_PRIVILEGED_STACK_SIZE domyślnie wynosi 1024 bajty, więc długość około 170 już ją wyczerpuje.

Rezultatem jest zapis poza granicami w trybie nadzorcy z długością kontrolowaną przez osobę atakującą i, na dozwolonej ścieżce, treścią kontrolowaną przez osobę atakującą — przedostanie się z piaskownicy trybu użytkownika do pamięci jądra, co prowadzi do wykonania kodu jądra lub awarii systemu. Region strażnika stosu go nie zawiera, ponieważ kopia zaczyna się pod strażnikiem i idzie w górę, uszkadzając niezabezpieczoną pamięć, zanim dotrze do strażnika. Poprawka całkowicie usuwa kopie po stronie jądra i sprawdza poprawność tablic wywołującego za pomocą K_SYSCALL_MEMORY_ARRAY_READ() / K_SYSCALL_MEMORY_ARRAY_WRITE(), która również obsługuje przepełnienie mnożenia rozmiaru len *; jest to bezpieczne, ponieważ ani Fuel_gauge_prop_t, ani union Fuel_gauge_prop_val nie zawierają osadzonych wskaźników.

The user-mode syscall verifiers z_vrfy_fuel_gauge_get_props() and z_vrfy_fuel_gauge_set_props() in drivers/fuel_gauge/fuel_gauge_syscall_handlers.c declared two variable-length arrays, union fuel_gauge_prop_val k_vals[len] and fuel_gauge_prop_t k_props[len], sized directly by the caller-supplied len argument. len is an unvalidated size_t taken straight from the syscall ABI, and the VLAs were allocated before any check at all — including before the K_SYSCALL_DRIVER_FUEL_GAUGE() object-permission check. The subsequent k_usermode_from_copy() calls validated only that the user source buffer was readable; the kernel destination was never bounds-checked, since it was sized by the same attacker-chosen len.

Any thread running in user mode with CONFIG_USERSPACE enabled can invoke fuel_gauge_get_props() or fuel_gauge_set_props() with a large len. This first displaces the supervisor stack pointer by an arbitrary attacker-chosen amount — Zephyr does not build with stack-clash probing, so the displacement itself does not fault, and the nested calls made by the verifier then write frames below the privileged stack. If the caller has been granted access to a fuel-gauge device object, the memcpy inside k_usermode_from_copy() additionally writes len * sizeof(union fuel_gauge_prop_val) bytes of fully attacker-controlled data starting well below the stack base. CONFIG_PRIVILEGED_STACK_SIZE defaults to 1024 bytes, so a len of roughly 170 already exhausts it.

The result is an out-of-bounds write in supervisor mode with attacker-controlled length and, on the permitted path, attacker-controlled content — a break out of the user-mode sandbox into kernel memory, leading to kernel code execution or a system crash. A stack guard region does not contain it, because the copy begins below the guard and walks upward, corrupting unprotected memory before the guard is reached. The fix removes the kernel-side copies entirely and validates the caller's arrays in place with K_SYSCALL_MEMORY_ARRAY_READ() / K_SYSCALL_MEMORY_ARRAY_WRITE(), which also handle the len * size multiplication overflow; this is safe because neither fuel_gauge_prop_t nor union fuel_gauge_prop_val contains embedded pointers.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve