Średni Odebrany

CVE-2026-78116

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

5.2

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Sterownik czujnika czasu przelotu Broadcom AFBR-S50 dwukrotnie wypełnia zgłoszenie RTIO, gdy ocena danych czujnika nie powiedzie się. W data_ready_work_handler() (drivers/sensor/broadcom/afbr_s50/afbr_s50.c) powrót inny niż STATUS_OK z Argus_EvaluateData() wywołuje handle_error_on_result(), co kończy żądanie za pomocą rtio_iodev_sqe_err(), ale wykonanie spadło do końca funkcji i sfinalizowało tę samą strukturę rtio_iodev_sqe po raz drugi za pomocą rtio_iodev_sqe_ok(). W przeciwieństwie do innych gałęzi błędów w tej samej funkcji, ta nie zwróciła.

Obydwa pomocnicy uzupełniania osiągają rtio_executor_done() w subsys/rtio/rtio_executor.c, co zwraca przesłane dane do puli za pomocą rtio_sqe_pool_free() i, w przypadku przesyłania strumieniowego (multishot), zwalnia także bufor RX za pomocą rtio_release_buffer(). Dlatego drugie zakończenie odczytuje zwolnione rtio_iodev_sqe, wypycha ten sam węzeł mpsc do kolejki przesyłania, gdy znajduje się już na liście wolnych puli — łącząc dwie listy razem — i ponownie przesyła zwolnione żądanie, tak aby następny pomiar został zapisany w już zwolnionym buforze. W przypadku zgłoszeń jednorazowych emituje fałszywy komunikat o pomyślnym zakończeniu, przenosząc nieaktualne dane użytkownika i dwukrotnie zwalnia ten sam wpis w puli.

Gałąź awarii jest sterowana stanem czujnika, a nie oprogramowaniem hosta. Interfejs API dostawcy dokumentuje statusy takie jak ERROR_ARGUS_BIAS_VOLTAGE_REINIT i ERROR_ARGUS_LASER_MONITOR_INACTIVE jako przejściowe skutki ostrego światła otoczenia, więc osoba znajdująca się przed czujnikiem optycznym może wywołać stan nieprawidłowych danych bez fizycznego kontaktu z płytą lub dostępu do oprogramowania; Błędy transferu SPI docierają do tej samej gałęzi. W wersjach poprzedzających ładunek. Porzucono kontrolę stanu, wystarczające były zwykłe ostre zmiany odległości w polu widzenia czujnika.

Skutkiem jest uszkodzenie puli zgłoszeń RTIO i księgowości puli pamięci: aliasy zgłoszeń, zapisy w zwolnionych buforach i zduplikowane uzupełnienia dostarczane do aplikacji. Osoba atakująca nie kontroluje uszkodzonej zawartości, zatem praktyczną konsekwencją jest uszkodzenie pamięci i utrata dostępności na urządzeniach, które zamiast ukierunkowanego wykonania kodu inicjują instancję brcm,afbr-s50. Dotyczy to tylko kompilacji obsługujących ten sterownik.

The Broadcom AFBR-S50 time-of-flight sensor driver double-completes an RTIO submission when sensor data evaluation fails. In data_ready_work_handler() (drivers/sensor/broadcom/afbr_s50/afbr_s50.c), a non-STATUS_OK return from Argus_EvaluateData() calls handle_error_on_result(), which finalises the request with rtio_iodev_sqe_err(), but execution then fell through to the tail of the function and finalised the very same struct rtio_iodev_sqe a second time with rtio_iodev_sqe_ok(). Unlike the other error branches in the same function, this one did not return.

Both completion helpers reach rtio_executor_done() in subsys/rtio/rtio_executor.c, which returns the submission to the pool via rtio_sqe_pool_free() and, for streaming (multishot) submissions, also releases the RX buffer with rtio_release_buffer(). The second completion therefore reads a freed rtio_iodev_sqe, pushes the same mpsc node onto the submission queue while it is already on the pool free list — splicing the two lists together — and re-submits the freed request so the next measurement is written through an already-released buffer. For one-shot submissions it emits a spurious success completion carrying stale userdata and frees the same pool entry twice.

The failure branch is driven by sensor conditions rather than by host software. The vendor API documents statuses such as ERROR_ARGUS_BIAS_VOLTAGE_REINIT and ERROR_ARGUS_LASER_MONITOR_INACTIVE as transient results of harsh ambient light, so a party in front of the optical sensor can provoke the invalid-data condition without any physical contact with the board or any software access; SPI transfer errors reach the same branch. In releases before the payload.Status check was dropped, ordinary sharp distance transitions in the sensor's field of view were sufficient.

Impact is corruption of the RTIO submission pool and mempool bookkeeping: aliased submissions, writes through released buffers, and duplicate completions delivered to the application. The attacker does not control the corrupted content, so the practical consequence is memory corruption and loss of availability on devices that instantiate brcm,afbr-s50, rather than directed code execution. Only builds that enable this driver are affected.

>_ Słabości (CWE)

CWE-415

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve