Wysoki Odebrany

CVE-2026-79976

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

7.1

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Powiązanie celu MCTP-over-I2C+GPIO w subsys/pmci/mctp/mctp_i2c_gpio_target.c emuluje mały plik pseudorejestru, w którym kontroler magistrali najpierw zapisuje numer rejestru, a następnie zapisuje lub odczytuje bajty ładunku. Wybrany rejestr (b->reg_addr) i flaga fazy danych (b->rxtx) nigdy nie zostały wyczyszczone, gdy kontroler wydał STOP I2C, więc po zakończeniu transferu cel nadal miał wybrany rejestr danych, podczas gdy bufor pakietu, do którego się odnosi, został już zużyty i ustawiony na NULL przez mctp_i2c_gpio_target_stop().

Kontroler na magistrali może ponownie wejść do tej samej gałęzi mctp_i2c_gpio_target_stop() z buforem NULL, używając dwóch zwykłych transakcji i bez uwierzytelniania: najpierw normalny zapis pakietu do MCTP_I2C_GPIO_RX_MSG_ADDR, po którym następuje STOP (który dostarcza i zwalnia b->rx_pkt), następnie transakcja gołego odczytu, po której następuje STOP. Nieudane wywołanie read_requested() pozostawia nieaktualny stan nienaruszony, a sterownik I2C nadal dostarcza wywołanie zwrotne STOP, które następnie wywołuje mctp_bus_rx() z pakietem NULL. Przypadek symetryczny występuje po stronie transmisji, gdzie stary wybór MCTP_I2C_GPIO_TX_MSG_ADDR dereferuje b->tx_pkt->end po wyczyszczeniu b->tx_pkt i dodatkowo sygnalizuje b->tx_complete po raz drugi, powodując odrzucenie następnego pakietu wychodzącego.

Wyłuskiwanie odbywa się w docelowej procedurze obsługi przerwań I2C, więc w przypadku dowolnego celu, który przechwytuje dostęp do adresu 0, wynikiem jest krytyczny wyjątek i zresetowanie lub zatrzymanie urządzenia — odmowa usługi spowodowana przez dowolne urządzenie, które może działać jako kontroler na współdzielonej magistrali zarządzania (na przykład przejęte oprogramowanie sprzętowe w równorzędnym punkcie końcowym MCTP lub na BMC). W częściach, w których adres 0 jest czytelny, wpływ zmniejsza się do zniekształconego bufora pakietów przekazywanego do stosu MCTP i utraty pakietów transmisyjnych. Nie jest zapisana żadna wartość kontrolowana przez osobę atakującą i nie została przekroczona żadna granica poufności ani integralności.

Poprawka resetuje b->reg_addr do MCTP_I2C_GPIO_INVALID_ADDR i kasuje b->rxtx przy każdym STOP, więc przed ponownym uruchomieniem jakiejkolwiek fazy danych należy wybrać nowy rejestr. Dotyczy to tylko kompilacji, które włączają eksperymentalny podsystem CONFIG_MCTP z CONFIG_MCTP_I2C_GPIO_TARGET=y.

The MCTP-over-I2C+GPIO target binding in subsys/pmci/mctp/mctp_i2c_gpio_target.c emulates a small pseudo-register file, where the bus controller first writes a register number and then writes or reads payload bytes. The selected register (b->reg_addr) and the data-phase flag (b->rxtx) were never cleared when the controller issued an I2C STOP, so after a completed transfer the target still had a data register selected while the packet buffer that register refers to had already been consumed and set to NULL by mctp_i2c_gpio_target_stop().

A controller on the bus can re-enter the same branch of mctp_i2c_gpio_target_stop() with a NULL buffer using two ordinary transactions and no authentication: first a normal packet write to MCTP_I2C_GPIO_RX_MSG_ADDR followed by STOP (which delivers and frees b->rx_pkt), then a bare read transaction followed by STOP. The failing read_requested() call leaves the stale state untouched and the I2C driver still delivers the STOP callback, which then calls mctp_bus_rx() with a NULL packet. The symmetric case exists on the transmit side, where the stale MCTP_I2C_GPIO_TX_MSG_ADDR selection dereferences b->tx_pkt->end after b->tx_pkt has been cleared and additionally signals b->tx_complete a second time, causing the next outbound packet to be dropped.

The dereference happens in the I2C target interrupt handler, so on any target that traps accesses to address 0 the result is a fatal exception and a device reset or halt — a denial of service inflicted by any device able to act as controller on the shared management bus (for example compromised firmware on a peer MCTP endpoint or on the BMC). On parts where address 0 is readable, the impact degrades to a malformed packet buffer being handed to the MCTP stack and lost transmit packets. No attacker-controlled value is written and no confidentiality or integrity boundary is crossed.

The fix resets b->reg_addr to MCTP_I2C_GPIO_INVALID_ADDR and clears b->rxtx at every STOP, so a new register must be selected before any data phase can run again. Only builds that opt into the experimental CONFIG_MCTP subsystem with CONFIG_MCTP_I2C_GPIO_TARGET=y are affected.

>_ Słabości (CWE)

CWE-476

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve