Wysoki Oczekuje na analizę

CVE-2026-82961

opublikowano: 28.10.2026, 18:18

modyfikacja: 28.10.2026, 18:18

Ocena CVSS

7.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Funkcje obsługi wywołań systemowych GPIO w sterownikach/gpio/gpio_handlers.c nie sprawdziły argumentu pin dostarczonego przez program wywołujący w trybie użytkownika. z_vrfy_gpio_pin_configure(), z_vrfy_gpio_pin_get_config() i z_vrfy_gpio_pin_interrupt_configure() zweryfikowały tylko obiekt urządzenia (K_SYSCALL_DRIVER_GPIO() / K_SYSCALL_OBJ()), a następnie przekazały dostarczony przez rozmówcę gpio_pin_t bezpośrednio do z_impl_gpio_pin_*() i dalej do sterownika. Jedynym sprawdzeniem pinów w include/zephyr/drivers/gpio.h był __ASSERT(gpio_port_pin_is_supported(cfg->port_pin_mask, pin), ...), który kompiluje się do niczego, chyba że włączono CONFIG_ASSERT, więc w wersji produkcyjnej w ogóle nie było sprawdzania.

Sterowniki GPIO używają pinów jako licznika przesunięć i indeksu tablicy, przy udokumentowanym założeniu, że jest to pin obsługiwany przez kontroler. Na przykład w STM32 gpio_stm32_pin_interrupt_configure() zamienia pin w linię EXTI, a stm32_gpio_intc_set_irq_callback() zapisuje dane->cb[line_num].cb i data->cb[line_num].data do tablicy wpisów NUM_EXTI_LINES (domyślnie 16) w sterowniki/interrupt_controller/intc_gpio_stm32.c, chronione jedynie przez skompilowaną funkcję __ASSERT_NO_MSG(); ta sama funkcja następnie odczytuje exti_irq_table[numer_linii] i wywołuje irq_enable() na wyniku. Inne kontrolery indeksują tabele konfiguracyjne o stałym rozmiarze dla poszczególnych pinów w ten sam sposób — sterowniki/gpio/gpio_ite_it8xxx2_v2.c odczytują wskaźnik bazowy MMIO z wuc_base[8] za pomocą numeru PIN wywołującego i wykonują przez niego operację odczytu-modyfikacji-zapisu.

Problem jest osiągalny tylko w kompilacjach z CONFIG_USERSPACE=y (plik jest kompilowany pod tym symbolem) przez wątek trybu użytkownika, któremu przyznano dostęp do obiektu urządzenia GPIO. Takie zezwolenie ma na celu umożliwienie kontroli pinów tego portu; zamiast tego brakująca walidacja umożliwia wątkowi wykonanie w trybie nadzorcy zapisu poza granicami wskaźnika funkcji i powiązanej z nią pustej * tablicy obok tablicy .bss jądra oraz odczyty poza granicami, które zasilają funkcję irq_enable() i dostęp do MMIO — ucieczkę z piaskownicy trybu użytkownika, która może prowadzić do uszkodzenia pamięci jądra, wykonania dowolnego kodu lub awarii.

Poprawka sprawdza poprawność pinu względem gpio_driver_config.port_pin_mask kontrolera za pomocą gpio_port_pin_is_supported() w każdym programie obsługi z_vrfy_ pobierającym piny i w przeciwnym razie zwraca -EINVAL, uzupełnione bezwarunkowym pinem >= Kontrola zakresu GPIO_MAX_PINS_PER_PORT dodana do współdzielonych linii wbudowanych z_impl_gpio_pin_*().

The GPIO syscall handlers in drivers/gpio/gpio_handlers.c did not validate the pin argument supplied by a user-mode caller. z_vrfy_gpio_pin_configure(), z_vrfy_gpio_pin_get_config() and z_vrfy_gpio_pin_interrupt_configure() verified only the device object (K_SYSCALL_DRIVER_GPIO() / K_SYSCALL_OBJ()) and then passed the caller-supplied gpio_pin_t straight through to z_impl_gpio_pin_*() and on to the driver. The only pin check in include/zephyr/drivers/gpio.h was __ASSERT(gpio_port_pin_is_supported(cfg->port_pin_mask, pin), ...), which compiles to nothing unless CONFIG_ASSERT is enabled, so in a production build no check existed at all.

GPIO drivers use pin as a shift count and as an array index on the documented assumption that it is a pin the controller supports. On STM32, for example, gpio_stm32_pin_interrupt_configure() turns pin into an EXTI line and stm32_gpio_intc_set_irq_callback() writes data->cb[line_num].cb and data->cb[line_num].data into a NUM_EXTI_LINES-entry array (default 16) in drivers/interrupt_controller/intc_gpio_stm32.c, guarded only by a compiled-out __ASSERT_NO_MSG(); the same function then reads exti_irq_table[line_num] and calls irq_enable() on the result. Other controllers index fixed-size per-pin configuration tables the same way — drivers/gpio/gpio_ite_it8xxx2_v2.c reads an MMIO base pointer out of wuc_base[8] with the caller's pin and performs a read-modify-write through it.

The issue is reachable only in builds with CONFIG_USERSPACE=y (the file is compiled under that symbol), by a user-mode thread that has been granted access to a GPIO device object. Such a grant is intended to authorize control of that port's pins; the missing validation instead lets the thread drive a supervisor-mode out-of-bounds write of a function pointer and an associated void * past a kernel .bss array, and out-of-bounds reads that feed irq_enable() and MMIO accesses — an escape from the user-mode sandbox that can lead to kernel memory corruption, arbitrary code execution, or a crash.

The fix validates pin against the controller's gpio_driver_config.port_pin_mask with gpio_port_pin_is_supported() in every pin-taking z_vrfy_ handler and returns -EINVAL otherwise, complemented by an unconditional pin >= GPIO_MAX_PINS_PER_PORT range check added to the shared z_impl_gpio_pin_*() inlines.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve