Średni Odebrany

CVE-2026-19737

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

5.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

i2s_esp32_trigger_check() w sterownikach/i2s/i2s_esp32.c sprawdza żądany kierunek tylko dla I2S_DIR_BOTH. Gałęzie I2S_DIR_RX i I2S_DIR_TX odczytują dev_cfg->rx.data->configured / dev_cfg->tx.data->configured bez uprzedniego sprawdzania wskaźników strumienia. Makro tworzenia instancji urządzenia I2S_ESP32_STREAM_INIT() ustawia zarówno .conf, jak i .data na NULL dla kierunku, którego nie opisuje drzewo urządzeń, więc w przypadku instancji, która łączy tylko jeden kierunek — normalny kształt wyjścia audio lub pasek LED worldsemi,ws2812-i2s — drugi kierunek powoduje wyłuskanie wskaźnika NULL zamiast zwracać błąd.

i2s_trigger() to wywołanie systemowe Zephyr, a z_vrfy_i2s_trigger() w sterownikach/i2s/i2s_handlers.c sprawdza tylko obiekt urządzenia i obecność wskaźnika API wyzwalacza; argument dir jest przekazywany do sterownika bez sprawdzenia poprawności. W kompilacji z włączoną funkcją CONFIG_USERSPACE wątek trybu użytkownika, któremu przyznano urządzenie I2S, może wykonać pojedyncze wywołanie i2s_trigger() podając nazwę kierunku nieokablowanego i spowodować obciążenie z adresu 0 w trybie jądra. Wśród części Espressif wyposażonych w ten sterownik przestrzeń użytkownika jest dostępna w drzewie tylko na układach SoC RISC-V z CONFIG_RISCV_PMP, a wersja 4.4.0 jest pierwszą wersją, w której można to zbudować: ESP32-C6 HPCORE wybiera RISCV_PMP, gdy nie jest zbudowany dla MCUboot. ESP32-C5 w wersji 4.4.x obsługuje tę samą obsługę linkera regionu PMP i przestrzeni użytkownika, ale domyślnie nie wybiera RISCV_PMP. Elementy docelowe Espressif Xtensa nie obsługują przestrzeni użytkownika Zephyr, a w przypadku kompilacji innej niż przestrzeń użytkownika zły kierunek może pochodzić jedynie z kodu aplikacji znajdującego się w jądrze.

Wpływ jest ograniczony do dostępności: dostęp polega na odczytaniu z przesunięciem 0 brakującej struktury strumienia, więc nie ma przesunięcia kontrolowanego przez osobę atakującą, nie ma prymitywnego zapisu ani nie ujawnia się informacji. W przypadku domyślnej procedury obsługi błędów krytycznych powstały wyjątek zatrzymuje system, powodując ogólnosystemową odmowę usługi dla nieuprzywilejowanego wątku trybu użytkownika. Poprawka dodaje tę samą kontrolę wskaźnika dla już wykonanej gałęzi I2S_DIR_BOTH i zwraca -ENOSYS dla kierunku, którego instancja nie implementuje; inne punkty wejścia sterownika (i2s_esp32_config_check(), i2s_esp32_config_get(), i2s_esp32_read(), i2s_esp32_write()) już strzegły wskaźników, a audyt statyczny nie znalazł równoważnej niestrzeżonej ścieżki.

Wada sterownika jest starsza niż zakres, którego dotyczy problem. Niestrzeżone dereferencje występują od wersji 4.2.0 (osiągane przez i2s_esp32_trigger_stream(), którego funkcja if (stream) sprawdza adres elementu członkowskiego struktury i nigdy nie jest fałszywa) i przyjmuje obecną formę i2s_esp32_trigger_check() w wersji 4.3.0. Żadna konfiguracja drzewa Espressif przed wersją 4.4.0 nie mogła uruchomić wątku trybu użytkownika, więc w wersjach 4.2.x i 4.3.x argument kierunku może pochodzić tylko z zaufanego kodu jądra. Te wydania zawierają błąd, ale nie są wymienione jako dotknięte; poprawka została również połączona z gałęzią v4.3 jako hartowanie.

i2s_esp32_trigger_check() in drivers/i2s/i2s_esp32.c validates the requested direction only for I2S_DIR_BOTH. The I2S_DIR_RX and I2S_DIR_TX branches read dev_cfg->rx.data->configured / dev_cfg->tx.data->configured without first checking the stream pointers. The device instantiation macro I2S_ESP32_STREAM_INIT() sets both .conf and .data to NULL for a direction the devicetree does not describe, so on an instance that wires only one direction — the normal shape for audio output or a worldsemi,ws2812-i2s LED strip — the other direction dereferences a NULL pointer instead of returning an error.

i2s_trigger() is a Zephyr syscall, and z_vrfy_i2s_trigger() in drivers/i2s/i2s_handlers.c validates only the device object and the presence of the trigger API pointer; the dir argument is passed to the driver unvalidated. On a build with CONFIG_USERSPACE enabled, a user-mode thread that has been granted the I2S device can issue a single i2s_trigger() call naming the unwired direction and cause a load from address 0 in kernel mode. Among the Espressif parts that carry this driver, userspace is available in-tree only on RISC-V SoCs with CONFIG_RISCV_PMP, and v4.4.0 is the first release where that is buildable: the ESP32-C6 HPCORE selects RISCV_PMP when it is not built for MCUboot. ESP32-C5 in v4.4.x carries the same PMP-region and userspace linker support but does not select RISCV_PMP by default. Espressif Xtensa targets do not support Zephyr userspace, and in a non-userspace build the bad direction can only come from in-kernel application code.

The impact is limited to availability: the access is a read at offset 0 of the missing stream structure, so there is no attacker-controlled offset, no write primitive and no information disclosure. With the default fatal-error handler the resulting exception halts the system, giving an unprivileged user-mode thread a system-wide denial of service. The fix adds the same pointer check the I2S_DIR_BOTH branch already performed and returns -ENOSYS for a direction the instance does not implement; the driver's other entry points (i2s_esp32_config_check(), i2s_esp32_config_get(), i2s_esp32_read(), i2s_esp32_write()) already guarded the pointers, and a static audit found no equivalent unguarded path.

The driver defect is older than the affected range. The unguarded dereference is present from v4.2.0 (reached through i2s_esp32_trigger_stream(), whose if (stream) guard tests the address of a struct member and is never false) and takes its present i2s_esp32_trigger_check() form in v4.3.0. No in-tree Espressif configuration before v4.4.0 can run a user-mode thread, so in v4.2.x and v4.3.x the direction argument can only come from trusted kernel code. Those releases carry the bug but are not listed as affected; the fix has also been merged to v4.3-branch as hardening.

>_ Słabości (CWE)

CWE-476

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve