Wysoki Odebrany

CVE-2026-76788

opublikowano: 19.10.2026, 23:18

modyfikacja: 19.10.2026, 23:18

Ocena CVSS

8.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Parser odpowiedzi Panelu sterowania OSDP cp_decode_response() w subsys/mgmt/osdp/src/osdp_cp.c dekoduje odpowiedzi z urządzenia peryferyjnego do przydzielonej stosu struktury osdp_event. W przypadku typów odpowiedzi REPLY_KEYPPAD i REPLY_RAW długość ładunku jest pobierana z odebranej ramki, a jedyną przeprowadzaną walidacją jest sprawdzenie, czy zadeklarowana długość jest zgodna z liczbą bajtów ładunku obecnych w ramce. Ponieważ osoba atakująca kontroluje zarówno pole długości, jak i długość ramki, sprawdzenie to nie nakłada żadnego ograniczenia, a następująca po nim funkcja memcpy() zapisuje do stałych 64-bajtowych tablic danych struktury osdp_event_keypress / struct osdp_event_cardread (OSDP_EVENT_MAX_DATALEN). Rodzeńska procedura obsługi REPLY_FMT w tym samym przełączniku przeniosła już brakujące powiązanie > OSDP_EVENT_MAX_DATALEN.

Do defektu dochodzi się za pomocą cp_process_reply(), która odczytuje bajty z kanału OSDP RS-485 i przekazuje je przez osdp_phy_check_packet() i osdp_phy_decode_packet() przed wysłaniem identyfikatora odpowiedzi. Wyzwolenie wymaga CONFIG_OSDP z CONFIG_OSDP_MODE_CP i zarejestrowanego wywołania zwrotnego zdarzenia aplikacji (normalna integracja z Panelem Sterowania), a także ramki zawierającej poprawny SOM, ważny CRC-16 i pasujący 2-bitowy numer sekwencyjny - wszystko to jest obliczalne lub obserwowalne przez kogokolwiek na magistrali. Żadne sprawdzenie nie wiąże identyfikatora odpowiedzi z zaległym poleceniem, więc zbyt duży REPLY_KEYPPAD lub REPLY_RAW jest akceptowany jako odpowiedź na rutynowe CMD_POLL. Złośliwy lub zainfekowany czytnik kart lub każda osoba mająca dostęp do okablowania RS-485 może dostarczyć taką ramkę; CONFIG_OSDP_SC_ENABLED pomaga tylko wtedy, gdy bezpieczny kanał jest aktywny, a pojedyncza nieuwierzytelniona ramka niosąca zły adres MAC powoduje sc_deactivate(), po czym odpowiedzi w postaci zwykłego tekstu są ponownie akceptowane.

Przy domyślnej wartości CONFIG_OSDP_UART_BUFFER_LENGTH wynoszącej 256, około 180 bajtów danych w pełni wybranych przez atakującego można zapisać za końcem obiektu zdarzenia przydzielonego do stosu, nad zapisanymi rejestrami i adresem zwrotnym w typowych układach ramek Cortex-M i RISC-V (Zephyr domyślnie nie włącza kanarków stosowych). Skutki mogą sięgać od poważnej awarii panelu kontroli dostępu po potencjalne przejęcie przepływu kontroli w kontekście wątku odbierającego OSDP. Poprawka dodaje powiązanie OSDP_EVENT_MAX_DATALEN z obydwoma programami obsługi, ograniczając rozmiar każdego memcpy() do miejsca docelowego.

The OSDP Control Panel reply parser cp_decode_response() in subsys/mgmt/osdp/src/osdp_cp.c decodes replies from a Peripheral Device into a stack-allocated struct osdp_event. For the REPLY_KEYPPAD and REPLY_RAW reply types, the payload length is taken from the received frame and the only validation performed is that the declared length is self-consistent with the number of payload bytes present in the frame. Because the attacker controls both the length field and the frame length, that check imposes no bound, and the subsequent memcpy() writes into the fixed 64-byte data arrays of struct osdp_event_keypress / struct osdp_event_cardread (OSDP_EVENT_MAX_DATALEN). The sibling REPLY_FMT handler in the same switch already carried the missing > OSDP_EVENT_MAX_DATALEN bound.

The defect is reached from cp_process_reply(), which reads bytes from the OSDP RS-485 channel and passes them through osdp_phy_check_packet() and osdp_phy_decode_packet() before dispatching on the reply ID. Triggering it requires CONFIG_OSDP with CONFIG_OSDP_MODE_CP and an application event callback registered (the normal Control Panel integration), plus a frame carrying a correct SOM, a valid CRC-16, and a matching 2-bit sequence number — all of which are computable or observable by anyone on the bus. No check ties the reply ID to the outstanding command, so an oversized REPLY_KEYPPAD or REPLY_RAW is accepted as the answer to a routine CMD_POLL. A malicious or compromised card reader, or anyone with access to the RS-485 wiring, can supply such a frame; CONFIG_OSDP_SC_ENABLED only helps while a secure channel is active, and a single unauthenticated frame carrying a bad MAC causes sc_deactivate(), after which plaintext replies are again accepted.

With the default CONFIG_OSDP_UART_BUFFER_LENGTH of 256, roughly 180 bytes of fully attacker-chosen data can be written past the end of the stack-allocated event object, over saved registers and the return address on typical Cortex-M and RISC-V frame layouts (Zephyr does not enable stack canaries by default). The impact ranges from a hard crash of the access-control panel to potential control-flow hijack in the context of the OSDP receive thread. The fix adds an OSDP_EVENT_MAX_DATALEN bound to both handlers, capping each memcpy() at the size of its destination.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve