Wysoki Odebrany

CVE-2026-19673

opublikowano: 14.10.2026, 19:18

modyfikacja: 14.10.2026, 19:18

Ocena CVSS

7.1

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

ethernet_recv() w subsys/net/l2/ethernet/ethernet.c sprawdza tylko, czy pierwszy net_buf odebranej ramki zawiera zwykłą 14-bajtową strukturę net_eth_hdr. Gdy typ eteru to 0x8100, a na interfejsie włączona jest sieć VLAN, ten sam bufor jest ponownie interpretowany jako 18-bajtowa struktura net_eth_vlan_hdr bez ponownego sprawdzania długości: TCI sieci VLAN i wewnętrzny typ eteru są odczytywane z przesunięć 14..17, za punktem->buffer->len, a hdr_len jest podnoszony do 18, więc kolejna funkcja net_buf_pull() usuwa więcej bajtów niż bufor trzyma.

Wyzwala to pojedyncza nieuwierzytelniona ramka o długości od 14 do 17 bajtów, zawierająca typ eterowy sieci VLAN. Nie jest wymagana znajomość konfiguracji sieci VLAN węzła: net_eth_get_vlan_iface() zwraca podstawowy interfejs dla znacznika priorytetu 0, a adres docelowy emisji spełnia test „ramka jest dla mnie”, więc 16-bajtowa ramka rozgłoszeniowa z typem eteru 0x8100 i TCI 0x0000 dociera do ściągania. Nic w ścieżce odbiorczej nie wymusza 60-bajtowego minimum Ethernet — klasy gadżetów USB CDC ECM i CDC NCM w szczególności przekazują dostarczane przez hosta ramki o dowolnej niezerowej długości bezpośrednio do funkcji net_recv_data().

Po włączeniu asercji funkcja net_buf_simple_pull() potwierdza, a węzeł wpada w panikę. W wersji produkcyjnej (asercje i wyłączenie CONFIG_NET_BUF_HARDENING) długość bufora uint16_t jest mniejsza niż 65534, a buf->data jest przesuwana poza koniec pamięci fragmentu, więc każdy późniejszy parser czyta daleko poza buforem i dowolna funkcja net_buf_add() na tym fragmencie oblicza przestrzeń końcową na podstawie niedopełnionej długości. Rezultatem jest niezawodna zdalna odmowa usługi i dostęp poza granicami, co może skutkować ujawnieniem informacji i korupcją.

Dotyczy to tylko konfiguracji zbudowanych z ustawieniem CONFIG_NET_VLAN=y, które mają włączoną sieć VLAN na odbiorczym interfejsie Ethernet i których adres MAC nie usuwa sprzętowo znaczników VLAN (ETHERNET_HW_VLAN_TAG_STRIP). Poprawka odrzuca ramkę przed odczytaniem znacznika, więc hdr_len ma następnie wartość 14 lub 18, przy czym oba rozmiary są sprawdzane względem pkt->buffer->len.

ethernet_recv() in subsys/net/l2/ethernet/ethernet.c validates only that the first net_buf of a received frame holds a plain 14-byte struct net_eth_hdr. When the ethertype is 0x8100 and VLAN is enabled on the interface, the same buffer is reinterpreted as the 18-byte struct net_eth_vlan_hdr without re-checking the length: the VLAN TCI and the inner ethertype are read from offsets 14..17, past pkt->buffer->len, and hdr_len is raised to 18 so the subsequent net_buf_pull() removes more bytes than the buffer holds.

A single unauthenticated frame of 14 to 17 bytes carrying the VLAN ethertype triggers this. No knowledge of the node's VLAN configuration is needed: net_eth_get_vlan_iface() returns the base interface for the priority tag 0, and a broadcast destination address satisfies the "frame is for me" test, so a 16-byte broadcast frame with ethertype 0x8100 and TCI 0x0000 reaches the pull. Nothing in the receive path enforces the 60-byte Ethernet minimum — the USB CDC ECM and CDC NCM gadget classes in particular hand host-supplied frames of any non-zero length straight to net_recv_data().

With assertions enabled, net_buf_simple_pull() asserts and the node panics. In a production build (assertions and CONFIG_NET_BUF_HARDENING off) the uint16_t buffer length underflows to 65534 and buf->data is advanced past the end of the fragment's storage, so every later parser reads far outside the buffer and any net_buf_add() on that fragment computes tailroom from the underflowed length. The result is a reliable remote denial of service and out-of-bounds access with information-disclosure and corruption potential.

Only configurations built with CONFIG_NET_VLAN=y that have a VLAN enabled on the receiving Ethernet interface, and whose MAC does not strip VLAN tags in hardware (ETHERNET_HW_VLAN_TAG_STRIP), are affected. The fix rejects the frame before the tag is read, so hdr_len is thereafter either 14 or 18 with both sizes validated against pkt->buffer->len.

>_ Słabości (CWE)

CWE-125

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve