Średni Odebrany

CVE-2026-76787

opublikowano: 19.10.2026, 23:18

modyfikacja: 19.10.2026, 23:18

Ocena CVSS

5.9

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Klient oprogramowania sprzętowego UpdateHub do transmisji bezprzewodowej analizuje odpowiedź sondy CoAP przy użyciu biblioteki JSON Zephyr w funkcji z_impl_updatehub_probe() (subsys/mgmt/updatehub/updatehub.c). Dekoder traktuje każde pole deskryptora jako opcjonalne — json_obj_parse() zwraca maskę bitową faktycznie zdekodowanych pól i nigdy nie zawodzi w przypadku brakującego — więc odpowiedź pomijająca ciąg „sha256sum” pozostawia odpowiedni const char * w zainicjowanej zerem strukturze resp_probe_any_boards / struct resp_probe_some_boards na poziomie NULL. Obie gałęzie metadanych następnie obliczyły sha256size = strlen(...objects.sha256sum) + 1 przed jakąkolwiek walidacją, usuwając odwołanie do tego wskaźnika NULL; Poniższy test SHA256_HEX_DIGEST_SIZE działa na wartości, którą wygenerował już błędny odczyt i nie może temu zapobiec.

Metadane są dostarczane w całości przez równorzędnego partnera sieci: probówka_cb() akceptuje datagram, uruchamia funkcję coap_packet_parse() i kopiuje ładunek bez dopasowywania tokenów i bez kontroli kryptograficznej. Przy wyłączonej opcji CONFIG_UPDATEHUB_DTLS — ustawienie domyślne — start_coap_client() używa zwykłego protokołu CoAP przez UDP na porcie 5683 bez uwierzytelniania równorzędnego i rozpoznaje serwer za pośrednictwem nieuwierzytelnionego DNS, więc atakujący znajdujący się na ścieżce, fałszujący DNS lub atakujący spoza ścieżki, który wygra wyścig ze sfałszowanym adresem źródłowym, może dostarczyć zniekształcone metadane. Odpowiedź na sondę tak prosta jak „obiekty”: [[{}],[{}]] wystarczy i nie jest wymagana żadna interakcja użytkownika, ponieważ updatehub_autohandler() odpytuje CONFIG_UPDATEHUB_POLL_INTERVAL. Gdy CONFIG_UPDATEHUB_DTLS=y wyzwalacz zawęża się do złośliwego lub zagrożonego serwera aktualizacji.

Operacja podstawowa to odczyt z adresu zerowego, a nie zapis, więc wpływ ma tylko dostępność. W obiektach docelowych, w których dolny zakres adresów jest niezmapowany lub chroniony — architektury oparte na MMU, kompilacje z CONFIG_NULL_POINTER_EXCEPTION_DETECTION_DWT/_MPU/_PMP, niezabezpieczone obrazy TrustZone i SoC, takie jak nRF54L, którego okno 0x0–0x400 nie jest mapowane — błędy ładowania i domyślna funkcja obsługi krytycznej Zephyr zatrzymują system, dając zdalnie uruchamiana odmowa usługi w każdej ankiecie. W klasycznych celach Cortex-M, gdzie tablicę wektorów można odczytać pod adresem zerowym, przechodzenie zwykle kończy się natychmiast, a żądanie jest odrzucane przez kontrolę długości, więc wynik jest zależny od konfiguracji i SoC. Nie ma zapisu do pamięci, a skopiowane bajty są porównywane jedynie z lokalnie obliczonym skrótem obrazu, więc nie ma kanału ujawniania informacji.

Poprawka dodaje jawny test sha256sum == NULL, który zwraca UPDATEHUB_METADATA_ERROR przed funkcją strlen() w obu gałęziach metadanych. Kompilacje debugowania (CONFIG_UPDATEHUB_LOG_LEVEL=4) nadal formatują te same wskaźniki za pomocą %s w pętli LOG_DBG(), która jest uruchamiana przed nowymi sprawdzeniami, więc ten wariant pozostaje tylko w konfiguracjach debugowania.

The UpdateHub firmware-over-the-air client parses the CoAP probe response with Zephyr's JSON library in z_impl_updatehub_probe() (subsys/mgmt/updatehub/updatehub.c). The decoder treats every descriptor field as optional — json_obj_parse() returns a bitmask of the fields it actually decoded and never fails on a missing one — so a response that omits the "sha256sum" string leaves the corresponding const char * in the zero-initialised struct resp_probe_any_boards / struct resp_probe_some_boards at NULL. Both metadata branches then computed sha256size = strlen(...objects.sha256sum) + 1 before any validation, dereferencing that NULL pointer; the SHA256_HEX_DIGEST_SIZE test that follows operates on a value the bad read has already produced and cannot prevent it.

The metadata is supplied entirely by the network peer: probe_cb() accepts the datagram, runs coap_packet_parse() and copies the payload with no token matching and no cryptographic check. With CONFIG_UPDATEHUB_DTLS unset — the default — start_coap_client() uses plain CoAP over UDP on port 5683 with no peer authentication and resolves the server via unauthenticated DNS, so an on-path attacker, a DNS spoofer, or an off-path attacker who wins the race with a forged source address can deliver the malformed metadata. A probe response as simple as "objects":[[{}],[{}]] suffices, and no user interaction is required because updatehub_autohandler() polls on CONFIG_UPDATEHUB_POLL_INTERVAL. When CONFIG_UPDATEHUB_DTLS=y the trigger narrows to a malicious or compromised update server.

The primitive is a read at address zero, not a write, so the impact is availability only. On targets where the low address range is unmapped or protected — MMU-based architectures, builds with CONFIG_NULL_POINTER_EXCEPTION_DETECTION_DWT/_MPU/_PMP, TrustZone non-secure images, and SoCs such as nRF54L whose 0x0–0x400 window is unmapped — the load faults and Zephyr's default fatal handler halts the system, giving a remotely re-triggerable denial of service on every poll. On classic Cortex-M targets where the vector table is readable at address zero the walk usually terminates immediately and the request is rejected by the length check, so the outcome is configuration- and SoC-dependent. There is no memory write, and the copied bytes are only compared against the locally computed image hash, so there is no information-disclosure channel.

The fix adds an explicit sha256sum == NULL test that returns UPDATEHUB_METADATA_ERROR ahead of the strlen() in both metadata branches. Debug builds (CONFIG_UPDATEHUB_LOG_LEVEL=4) still format the same pointers with %s in a LOG_DBG() loop that runs before the new checks, so that variant remains in debug configurations only.

>_ Słabości (CWE)

CWE-476

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve