Średni Odebrany

CVE-2026-78119

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

6.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Sterownik Nuvoton NPCX eSPI analizuje żądania Target-Attached-Flash (TAF) w espi_taf_parse() (drivers/espi/espi_npcx.c), pobierając 12-bitowe pole długości bezpośrednio z nagłówka żądania w FIFO FLASHRXBUF. W przypadku żądań zapisu i RPMC OP1 kopiuje słowa DIV_ROUND_UP(len, 4) do struct espi_taf_pckt.src, stałego 16-słowa (64-bajtowego) elementu struktury statycznej, bez porównywania długości z tym buforem lub z wynegocjowanym rozmiarem ładunku odbieranego eSPI (rx-plsize, 64 bajty na wszystkich układach NPCX/NPCK w drzewie). Zarówno licznik pętli, jak i liczba słów wynosiły uint8_t, więc kopia trwała do 255 iteracji.

Kontroler eSPI, który emituje żądanie flash, którego nagłówek zawiera ładunek większy niż wynegocjowane maksimum, przesyła w związku z tym do 239 32-bitowych zapisów poza koniec struktury — około 956 bajtów wartości poza zakresem zapisanych w pliku .bss — z modułu obsługi przerwań odbiorczych eSPI flash, podczas gdy odczyty źródłowe przechodzą poza koniec 18-wyrazowej tablicy rejestrów FLASHRXBUF do sąsiednich rejestrów eSPI. Ta sama niezweryfikowana długość została następnie przekazana do flash_write() w espi_taf_npcx_flash_write() z 64-bajtowym buforem src jako źródłem, wczytując do 4 KB sąsiedniej pamięci SRAM kontrolera do pamięci flash SPI pod adresem wybranym przez hosta, skąd host może go odczytać. Powiązany bufor stosu o stałym rozmiarze w taf_npcx_completion_handler() został przepełniony czterema bajtami na ścieżce uzupełniania o maksymalnym rozmiarze w układach SoC, których tx-plsize wynosi 64.

Do defektu można dotrzeć tylko po stronie hosta eSPI i tylko poprzez żądanie naruszające wynegocjowany rozmiar ładunku, dlatego wymaga oprogramowania sprzętowego hosta lub kontroli na poziomie magistrali, a nie zwykłego oprogramowania hosta; zgodny zapis o maksymalnej długości dokładnie pasuje do bufora i jest obsługiwany poprawnie. Ponieważ funkcja TAF istnieje specjalnie po to, aby wbudowany kontroler rozstrzygał o dostępie hosta do współdzielonej pamięci flash (espi_taf_check_read_protect() / espi_taf_check_write_protect()), uszkodzenie pamięci kontrolera z pola dostarczonego przez host przekracza granicę zaufania zapewnianą przez tę funkcję; Konsekwencje obejmują awarię lub zawieszenie kontrolera, a także uszkodzenie stanu sterownika, który zamyka obszary ochrony pamięci flash.

Poprawka rozszerza liczniki, odrzuca każde żądanie, którego liczba słów przekracza ARRAY_SIZE(FLASHRXBUF) - NPCX_ESPI_FLASH_HEADER_ADDRESS_LEN i NPCX_TAF_RX_PAYLOAD_WORDS (pochodzące z drzewa urządzeń rx-plsize), oznacza takie pakiety nową nieważną flagą, więc espi_taf_work() zamiast tego odpowiada na nie niepomyślnym zakończeniem ich przetwarzania, ogranicza ładunek transmisji do FLASHTXBUF i dodaje domyślny przypadek dla nieobsługiwanych typów cykli. Dotyczy to tylko konfiguracji z włączoną funkcją CONFIG_ESPI_TAF w obiekcie docelowym NPCX/NPCK; żadna tablica w drzewie domyślnie tego nie włącza.

The Nuvoton NPCX eSPI driver parses Target-Attached-Flash (TAF) requests in espi_taf_parse() (drivers/espi/espi_npcx.c), taking the 12-bit length field directly out of the request header in the FLASHRXBUF FIFO. For write and RPMC OP1 requests it copied DIV_ROUND_UP(len, 4) words into struct espi_taf_pckt.src, a fixed 16-word (64-byte) member of a static structure, without ever comparing the length against that buffer or against the negotiated eSPI receive payload size (rx-plsize, 64 bytes on all in-tree NPCX/NPCK SoCs). Both the loop counter and the word count were uint8_t, so the copy ran up to 255 iterations.

An eSPI controller that emits a flash request whose header claims a payload larger than the negotiated maximum therefore drives up to 239 32-bit stores past the end of the structure — roughly 956 bytes of out-of-bounds write into .bss — from the eSPI flash receive interrupt handler, while the source reads walk past the end of the 18-word FLASHRXBUF register array into neighbouring eSPI registers. The same unvalidated length was then passed on to flash_write() in espi_taf_npcx_flash_write() with the 64-byte src buffer as source, reading up to 4 KB of adjacent controller SRAM into SPI flash at a host-chosen address, where the host can read it back. A related fixed-size stack buffer in taf_npcx_completion_handler() was overflowed by four bytes on the maximum-size completion path on SoCs whose tx-plsize is 64.

The defect is reachable only from the eSPI host side, and only by a request that violates the negotiated payload size, so it requires host firmware or bus-level control rather than ordinary host software; a compliant maximum-length write fits the buffer exactly and is handled correctly. Because TAF exists specifically so that the embedded controller arbitrates host access to shared flash (espi_taf_check_read_protect() / espi_taf_check_write_protect()), corrupting controller memory from a host-supplied field crosses the trust boundary the feature asserts; consequences range from controller crash or hang to corruption of driver state that gates the flash protection regions.

The fix widens the counters, rejects any request whose word count exceeds both ARRAY_SIZE(FLASHRXBUF) - NPCX_ESPI_FLASH_HEADER_ADDRESS_LEN and NPCX_TAF_RX_PAYLOAD_WORDS (derived from the devicetree rx-plsize), marks such packets with a new invalid_flag so espi_taf_work() answers them with an unsuccessful completion instead of processing them, bounds the transmit payload against FLASHTXBUF, and adds a default case for unsupported cycle types. Only configurations with CONFIG_ESPI_TAF enabled on an NPCX/NPCK target are affected; no in-tree board enables it by default.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve