Wysoki Oczekuje na analizę

CVE-2026-87038

opublikowano: 04.11.2026, 07:17

modyfikacja: 04.11.2026, 07:17

Ocena CVSS

7.0

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Procedura obsługi weryfikacji trybu użytkownika dla wywołania systemowego i3c_transfer(), z_vrfy_i3c_transfer() w sterownikach/i3c/i3c_handlers.c, sprawdziła poprawność dostarczonej przez rozmówcę struktury i3c_device_desc na miejscu, zamiast tworzyć jej migawkę. Potwierdziło jedynie, że deskryptor był czytelny dla wątku wywołującego (K_SYSCALL_MEMORY_READ()), przeczytał raz cel->bus, aby sprawdzić go za pomocą K_SYSCALL_OBJ(), a następnie przekazał aktywny wskaźnik wywołującego w dół. Implementacja z_impl_i3c_transfer() ponownie odczytuje target->bus z pamięci użytkownika i wysyła przez nią jako DEVICE_API_GET(i3c, target->bus)->i3c_xfers(...), zatem magistrala, która została sprawdzona, niekoniecznie jest magistralą używaną. DEVICE_API_GET() nie sprawdza typu środowiska wykonawczego poza kompilacjami CONFIG_DEVICE_API_ASSERT.

W kompilacji z CONFIG_USERSPACE i sterownikiem kontrolera I3C wątek użytkownika, któremu przyznano obiekt urządzenia I3C, może wykorzystać to z drugim wątkiem w tej samej domenie pamięci: jeden wątek wywołuje i3c_transfer(), podczas gdy drugi przepisuje pole magistrali deskryptora. Okno pomiędzy sprawdzeniem a użyciem obejmuje sprawdzanie poprawności num_msgs, sprawdzanie dostępu do tablicy komunikatów, alokację stosu VLA i memcpy() do 32 struktur i3c_msg, więc wyścig jest powtarzalny i można go po prostu ponowić, aż do wylądowania.

Kiedy podstawienie się powiedzie, jądro wyłudza wskaźnik wybrany przez atakującego jako urządzenie strukturalne, ładuje wskaźnik funkcji z tabeli API kontrolowanej przez atakującego i wywołuje go w trybie nadzorcy z argumentami wpływającymi na atakującego. Daje to możliwość wykonania kodu w trybie jądra z nieuprzywilejowanego wątku użytkownika — całkowita ucieczka z piaskownicy chroniącej pamięć przestrzeni użytkownika; mniejszymi skutkami są dowolny dwupoziomowy odczyt jądra lub błąd jądra. Nie ma to wpływu na kompilacje bez CONFIG_USERSPACE lub bez sterownika I3C.

Poprawka kopiuje deskryptor do lokalnego stosu jądra za pomocą k_usermode_from_copy(), sprawdza poprawność magistrali w tej kopii i wysyła ją na kopii, więc zweryfikowana wartość jest prawdopodobnie użytą wartością.

The user-mode verification handler for the i3c_transfer() system call, z_vrfy_i3c_transfer() in drivers/i3c/i3c_handlers.c, validated the caller-supplied struct i3c_device_desc in place instead of snapshotting it. It confirmed only that the descriptor was readable by the calling thread (K_SYSCALL_MEMORY_READ()), read target->bus once to check it with K_SYSCALL_OBJ(), and then passed the caller's live pointer down. The implementation z_impl_i3c_transfer() re-reads target->bus from that user memory and dispatches through it as DEVICE_API_GET(i3c, target->bus)->i3c_xfers(...), so the bus that was validated is not necessarily the bus that is used. DEVICE_API_GET() performs no runtime type check outside CONFIG_DEVICE_API_ASSERT builds.

On a build with CONFIG_USERSPACE and an I3C controller driver, a user thread that has been granted an I3C device object can exploit this with a second thread in the same memory domain: one thread calls i3c_transfer() while the other rewrites the bus field of the descriptor. The window between the check and the use spans the num_msgs validation, the message-array access check, a stack VLA allocation and a memcpy() of up to 32 struct i3c_msg, so the race is repeatable and can simply be retried until it lands.

When the substitution succeeds, the kernel dereferences an attacker-chosen pointer as a struct device, loads a function pointer from the attacker-controlled api table and calls it in supervisor mode with attacker-influenced arguments. This yields kernel-mode code execution from an unprivileged user thread — a complete escape of the userspace memory-protection sandbox; lesser outcomes are an arbitrary two-level kernel read or a kernel fault. Builds without CONFIG_USERSPACE, or without an I3C driver, are unaffected.

The fix copies the descriptor into a kernel-stack local with k_usermode_from_copy(), validates the bus in that copy, and dispatches on the copy, so the validated value is provably the value used.

>_ Słabości (CWE)

CWE-367

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve