Średni Odebrany

CVE-2026-19735

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

4.8

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Implementacja początkowego numeru sekwencyjnego RFC 6528 w subsys/net/ip/tcp.c wyprowadza każdy numer ISN protokołu TCP z SHA-256 (unikalny_klucz || czterokrotka) plus przesunięcie wyprowadzane na podstawie czasu działania, gdzie unikalny_klucz to 128-bitowy sekret wypełniony jednorazowo przez sys_csrand_get(). Wartość zwracana przez to wywołanie została odrzucona, a jednorazowa osłona została zablokowana na wartość true, nawet jeśli wywołanie nie powiodło się. Ponieważ sys_csrand_get() pozostawia bufor docelowy nietknięty w przypadku awarii (celowo propaguje błąd sterownika entropii, zamiast wypełniać bufor), pojedyncze nieudane wywołanie pozostawia wartość Unique_key jako całkowicie zerową zawartość BSS na pozostałą część rozruchu, bez ponownych prób, bez komunikatu w dzienniku i bez powrotu.

Aby osiągnąć słaby stan, wymagana jest awaria kryptograficznego źródła losowego — na przykład -ENODEV/-EIO ze sterownika entropii w subsys/random/random_entropy_device.c (komentarz w drzewie wskazuje, że sprzętowy RNG „może nadal gromadzić entropię podczas wczesnych rozruchów”) lub błąd psa_generate_random() w subsys/random/random_psa.c, gdy kryptografia PSA jest aktywna nie został zainicjowany lub jest obsługiwany przez urządzenie entropijne Bluetooth-HCI, które jeszcze nie działa. Pierwsze połączenie TCP wyzwala generację klucza, więc zdalny element równorzędny, który dociera do portu nasłuchiwania natychmiast po uruchomieniu lub który może spowodować ponowne uruchomienie, ma pośredni wpływ na to, czy generowanie pokrywa się z tym oknem. Funkcja tcp_init_isn() jest wywoływana dla każdego pasywnego otwarcia w tcp_conn_new() i każdego aktywnego otwarcia w net_tcp_connect(), więc zatruty klucz zarządza wszystkimi połączeniami TCP podczas tego rozruchu.

Dzięki kluczowi zerowemu numer ISN staje się publiczną funkcją czterokrotkowego połączenia plus przesunięcie czasowe obejmujące całe urządzenie. Osoba atakująca spoza ścieżki może obliczyć termin skrótu w trybie offline dla dowolnej czterokrotki i odzyskać współdzielone przesunięcie czasowe z pojedynczego zaobserwowanego numeru ISN, po czym numer ISN, który urządzenie wybierze dla pozostałych czterech krotek, będzie przewidywalny. To dokładnie łamie ochronę, którą zapewnia RFC 6528: ślepe fałszowanie połączeń TCP w stosunku do peerów ufających adresowi źródłowemu oraz ślepe wstrzykiwanie danych do lub resetowanie połączeń, których cztery krotki można odgadnąć. Urządzenia, których źródło entropii nigdy nie zawiera błędów, nigdy nie znajdowały się w stanie słabym.

Poprawka przenosi generowanie klucza do pojedynczego strzeżonego pomocnika, który zatrzaskuje się tylko w przypadku powodzenia, w przeciwnym razie rejestruje błąd i powoduje, że tcp_init_isn() powraca do sys_rand32_get() — zachowania już używanego, gdy CONFIG_NET_TCP_ISN_RFC6528 jest wyłączone — zamiast mieszania ze znanym stałym kluczem.

The RFC 6528 initial-sequence-number implementation in subsys/net/ip/tcp.c derived every TCP ISN from SHA-256(unique_key || four-tuple) plus a uptime-derived offset, where unique_key is a 128-bit secret filled once by sys_csrand_get(). The return value of that call was discarded and the once guard was latched to true even when the call failed. Because sys_csrand_get() leaves the destination buffer untouched on failure (it deliberately propagates the entropy-driver error rather than filling the buffer), a single failed call left unique_key as its all-zero BSS content for the remainder of the boot, with no retry, no log message and no fallback.

A failure of the cryptographic random source is required to reach the weak state — for example -ENODEV/-EIO from the entropy driver in subsys/random/random_entropy_device.c (the in-tree comment notes that the hardware RNG "might still be gathering entropy during early boot situations"), or psa_generate_random() failing in subsys/random/random_psa.c when PSA crypto is not initialised or is backed by a Bluetooth-HCI entropy device that is not yet up. The first TCP connection is what triggers key generation, so a remote peer that reaches a listening port immediately after boot, or that can provoke a reboot, has indirect influence over whether generation coincides with that window. tcp_init_isn() is called for every passive open in tcp_conn_new() and every active open in net_tcp_connect(), so the poisoned key governs all TCP connections for that boot.

With an all-zero key the ISN becomes a public function of the connection four-tuple plus a device-wide time offset. An off-path attacker can compute the hash term offline for any four-tuple and recover the shared time offset from a single observed ISN, after which the ISN the device will pick for other four-tuples is predictable. That defeats exactly the protection RFC 6528 provides: blind TCP connection spoofing against peers that trust the source address, and blind data injection into or reset of connections whose four-tuple can be guessed. Devices whose entropy source never errors were never in the weak state.

The fix moves key generation into a single guarded helper that latches only on success, logs the error otherwise, and makes tcp_init_isn() fall back to sys_rand32_get() — the behaviour already used when CONFIG_NET_TCP_ISN_RFC6528 is disabled — instead of hashing with a known-constant key.

>_ Słabości (CWE)

CWE-330

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve