Średni Oczekuje na analizę

CVE-2026-85032

opublikowano: 03.11.2026, 15:17

modyfikacja: 03.11.2026, 15:17

Ocena CVSS

4.8

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Klasa urządzeń MCTP przez USB w subsys/pmci/mctp/mctp_usb.c dzieli obsługę RX na dwa wątki: systemowa kolejka robocza uruchamia mctp_usb_class_out_work(), która analizuje dane wyjściowe hosta bajt po bajcie i wypełnia bufor pakietów w usb->rx_pkt, podczas gdy wątek stosu urządzenia USB uruchamia mctp_usb_class_disable(). Procedura obsługi wyłączania korzystała z funkcji k_work_cancel(), która usuwa element roboczy z kolejki, ale natychmiast powraca, nie czekając na już uruchomioną procedurę obsługi, a następnie wywołuje mctp_usb_reset_rx_state() do mctp_pktbuf_free() bufora pakietów, którego proces roboczy może nadal używać.

Oba punkty wejścia do mctp_usb_class_disable() są sterowane przez podłączony host USB: żądanie SET_CONFIGURATION i reset magistrali USB docierają do nich za pośrednictwem usbd_config_reset() w subsys/usb/device_next/usbd_config.c. Host, który przesyła strumieniowo częściowe ramki MCTP do zbiorczego punktu końcowego OUT i wielokrotnie wymusza zmianę konfiguracji lub reset magistrali, kontroluje zatem zarówno analizowane dane, jak i moment, w którym następuje przerwanie, i może ponawiać próbę wyścigu w nieskończoność bez poświadczeń lub interakcji użytkownika.

Jeśli wolne miejsce wyląduje, gdy proces roboczy trzyma wskaźnik, pracownik zapisuje bajty dostarczone przez hosta do zwolnionej pamięci dedykowanej sterty MCTP (CONFIG_MCTP_HEAP_SIZE w subsys/pmci/mctp/mctp_memory.c), uszkadzając odzyskane bufory lub metadane wolnych bloków sys_heap; to okno wymaga prawdziwej równoległości, tj. CONFIG_SMP lub wywłaszczalnego CONFIG_SYSTEM_WORKQUEUE_PRIORITY. W przypadku domyślnej kolejki roboczej współpracującej pracownik może nadal korzystać z funkcji mctp_bus_rx() (wywołanie zwrotne aplikacji lub blokowanie odpowiedzi na komunikat kontrolny w mctp_usb_tx()), po czym wznawia działanie i wywołuje funkcję mctp_pktbuf_free(usb->rx_pkt) na wskaźniku, którego porzucenie ma wartość NULL, wyłuskiwanie wartości NULL i występowanie błędów w obiektach docelowych z wykrywaniem wskaźnika zerowego.

Poprawka zastępuje anulowanie funkcją k_work_cancel_sync() oraz nową strukturą k_work_sync out_work_sync, więc wyłączenie czeka na zakończenie procesu roboczego RX przed opróżnieniem FIFO i zwolnieniem bufora pakietów. Kodem, którego dotyczy problem, jest podsystem MCTP, oznaczony jako eksperymentalny, zbudowany wyłącznie z CONFIG_MCTP_USB.

The MCTP over USB device class in subsys/pmci/mctp/mctp_usb.c splits RX handling across two threads: the system workqueue runs mctp_usb_class_out_work(), which parses host OUT data byte by byte and fills a packet buffer at usb->rx_pkt, while the USB device stack thread runs mctp_usb_class_disable(). The disable handler used k_work_cancel(), which removes a queued work item but returns immediately without waiting for a handler that is already running, and then called mctp_usb_reset_rx_state() to mctp_pktbuf_free() the packet buffer the worker may still be using.

Both entry points into mctp_usb_class_disable() are driven by the attached USB host: a SET_CONFIGURATION request and a USB bus reset both reach it via usbd_config_reset() in subsys/usb/device_next/usbd_config.c. A host that streams partial MCTP frames on the bulk OUT endpoint and repeatedly forces a configuration change or bus reset therefore controls both the data being parsed and the moment the teardown runs, and can retry the race indefinitely without credentials or user interaction.

If the free lands while the worker holds the pointer, the worker writes host-supplied bytes into freed memory of the dedicated MCTP heap (CONFIG_MCTP_HEAP_SIZE in subsys/pmci/mctp/mctp_memory.c), corrupting recycled buffers or sys_heap free-block metadata; this window requires genuine parallelism, i.e. CONFIG_SMP or a preemptible CONFIG_SYSTEM_WORKQUEUE_PRIORITY. With the default cooperative workqueue the worker can still yield inside mctp_bus_rx() (application callback or a control-message reply blocking in mctp_usb_tx()), after which it resumes and calls mctp_pktbuf_free(usb->rx_pkt) on a pointer the teardown has NULLed, dereferencing NULL and faulting on targets with null-pointer detection.

The fix replaces the cancel with k_work_cancel_sync() plus a new struct k_work_sync out_work_sync, so disable waits for the RX worker to finish before draining the FIFO and freeing the packet buffer. The affected code is the MCTP subsystem, which is marked experimental, built only with CONFIG_MCTP_USB.

>_ Słabości (CWE)

CWE-416

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve