Wysoki Odebrany

CVE-2026-19736

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

7.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Sterownik entropii NXP MCUX TRNG w sterownikach/entropy/entropy_mcux_trng.c przekazał liczbę bajtów obiektu wywołującego bezpośrednio do procedury SDK dostawcy TRNG_GetRandomData(). Na częściach i.MX RT5xx i RT6xx SDK kompiluje swój wariant TRNG_SW_HEALTH_TESTS, który zawsze kopiuje całe 32-bitowe słowa i rysuje entropię zaokrągloną w górę do wielokrotności 128 bajtów. Jego strażnik „bufor wywołującego jest pełny” testuje dataSize == 0, więc żądanie, którego długość nie jest wielokrotnością czterech, powoduje, że dataSize przekracza zero, a zestaw SDK kontynuuje zapisywanie w buforze wywołującego dla całej ekstrakcji: 1-bajtowe żądanie skutkuje zapisanymi 128 bajtami, a każda długość niebędąca wielokrotnością słów przekracza maksymalnie 127 bajtów.

entropy_get_entropy() jest wywołaniem systemowym, a jego weryfikator w sterownikach/entropy/entropy_handlers.c sprawdza tylko żądaną długość za pomocą K_SYSCALL_MEMORY_WRITE(). Po włączeniu CONFIG_USERSPACE nieuprzywilejowany wątek trybu użytkownika, któremu jedynie przyznano urządzenie entropijne, może zatem wybrać zarówno adres docelowy, jak i długość, np. 1, i spowodować, że jądro zapisze do 127 bajtów poza regionem, który udowodnił, że jest właścicielem. Na tych procesorach Cortex-M33 nie ma MMU, więc partycje użytkownika i dane jądra współdzielą jedną pamięć SRAM, a przepełnienie może wylądować w sąsiednim stanie jądra. Na ten sam defekt z trybu jądra wpływa każdy obiekt wywołujący żądający długości innej niż wielokrotna, włączając w to funkcję getentropy() oraz, w kompilacjach, w których sys_csrand_get()/sys_rand_get() zwracają się do generatora sprzętowego, sys_rand8_get() i sys_rand16_get().

Skutkiem jest uszkodzenie pamięci do 127 bajtów bezpośrednio po dostarczonym buforze — zazwyczaj stos wywołującego w trybie jądra lub pamięć poza partycją wywołującego podczas przejścia przez wywołanie systemowe. Przesunięcie przepełnienia jest w pełni określone przez żądaną długość i dlatego jest deterministyczne, podczas gdy zapisana treść jest niekontrolowanym wyjściem TRNG; praktyczne konsekwencje obejmują awarie i nieprzewidywalne uszkodzenie stanu, aż po oportunistyczną eskalację, gdy księgowość jądra, taka jak mapy bitowe uprawnień obiektów, zostanie nadpisana. Dotknięte urządzenia to te, w których zestaw SDK MCUX umożliwia TRNG_SW_HEALTH_TESTS (MIMXRT595S, MIMXRT555S, MIMXRT533S, MIMXRT685S, MIMXRT633S), na których TRNG jest wybranym węzłem zefiru, entropii; inne SoC korzystające z tego sterownika korzystają ze ścieżki SDK, która ogranicza rozmiar kopii i nie ma to na nie wpływu.

Poprawka kieruje niewyrównany prefiks i koniec słowa podrzędnego przez lokalne słowo odrzucone i przekazuje zestawowi SDK tylko rozmiary wielu słów, więc zapisy SDK z uwzględnieniem szczegółowości słów nie mogą już przekraczać końca bufora programu wywołującego.

The NXP MCUX TRNG entropy driver in drivers/entropy/entropy_mcux_trng.c passed the caller's byte count straight to the vendor SDK routine TRNG_GetRandomData(). On i.MX RT5xx and RT6xx parts the SDK compiles its TRNG_SW_HEALTH_TESTS variant, which always copies whole 32-bit words and draws entropy rounded up to a multiple of 128 bytes. Its "caller buffer is full" guard tests dataSize == 0, so a request whose length is not a multiple of four makes dataSize underflow past zero and the SDK keeps writing into the caller's buffer for the entire extraction: a 1-byte request results in 128 bytes written, and any non-word-multiple length overflows by up to 127 bytes.

entropy_get_entropy() is a syscall, and its verifier in drivers/entropy/entropy_handlers.c validates only the requested length via K_SYSCALL_MEMORY_WRITE(). With CONFIG_USERSPACE enabled, an unprivileged user-mode thread that has merely been granted the entropy device can therefore choose both the destination address and a length such as 1, and cause the kernel to write up to 127 bytes beyond the region it proved it owns. On these Cortex-M33 targets there is no MMU, so user partitions and kernel data share one SRAM and the overflow can land in adjacent kernel state. The same defect is reached from kernel mode by any caller requesting a non-word-multiple length, including getentropy() and, in builds where sys_csrand_get()/sys_rand_get() resolve to the hardware generator, sys_rand8_get() and sys_rand16_get().

Impact is memory corruption of up to 127 bytes immediately following the supplied buffer — typically the caller's stack in kernel-mode use, or memory outside the caller's partition when driven through the syscall. The overflow offset is fully determined by the requested length and is therefore deterministic, while the written content is uncontrolled TRNG output; the practical consequences range from crashes and unpredictable state corruption to opportunistic escalation when kernel bookkeeping such as object permission bitmaps is overwritten. The affected devices are those where the MCUX SDK enables TRNG_SW_HEALTH_TESTS (MIMXRT595S, MIMXRT555S, MIMXRT533S, MIMXRT685S, MIMXRT633S), on which the TRNG is the zephyr,entropy chosen node; other SoCs using this driver take the SDK path that clamps the copy size and are unaffected.

The fix routes any unaligned prefix and any sub-word tail through a local bounce word and hands the SDK only word-multiple sizes, so the SDK's word-granular writes can no longer pass the end of the caller's buffer.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve