CVE-2026-13481 in Zephyr
الملخص
بحسب VulDB • 26/08/2026
يحتوي مُحلّل رسائل إدارة بروتوكول الوقت الدقيق (PTP) الخاص بمعايير IEEE 1588، الموجود في الملف `subsys/net/lib/ptp/tlv.c`، على خلل في التعامل مع معرف الإدارة `PTP_MGMT_TIME`. داخل دالة `tlv_mgmt_post_recv()`، يتم تحويل بيانات `mgmt_tlv->data` إلى بنية `struct ptp_timestamp` مكونة من 10 بايت وقراءتها (ثم تبديل البايتات وكتابتها مرة أخرى) دون التحقق مسبقاً من أن حقل بيانات TLV يحتوي على ما لا يقل على حجم `sizeof(struct ptp_timestamp)`. تقوم كل معرّف إدارة آخر في نفس جملة التبديل (`switch`) بالتحقق من الطول أولاً؛ وكان `PTP_MGMT_TIME` الحالة الوحيدة التي تفتقر إلى هذا التحقق.
الحجم المُمرَّر هو حجم بيانات الإدارة (أي `tlv->length - 2`)، وحارس الارتفاع الأصلي في دالة `ptp_tlv_post_recv()` يتطلب فقط أن يكون `tlv->length > 2`، بينما تقوم `msg_tlv_post_recv()` بالتحقق من أن TLV يتسع ضمن عدد البايتات المستلمة فحسب، وليس الحد الأدنى المحدد لكل معرّف. وبالتالي، يمكن لنظير على مقطع PTP المحلي إرسال رسالة `PTP_MSG_MANAGEMENT` تحمل TLV قصيراً لـ `PTP_MGMT_TIME` (بحجم بيانات يصل إلى 2 بايت فقط)، مما يتسبب في قراءة وكتابة 8 بايتات تتجاوز البيانات التي تم التحقق منها. ونظراً لأن نوع الرسالة ومحتويات TLV تُؤخذ مباشرة من خط النقل، فإن هذا المسار قابل للوصول بواسطة أي مهاجم مجاور عند تفعيل `CONFIG_PTP`.
تبقى عمليات القراءة الزائدة والكتابة مرة أخرى ضمن تخصيص بنية `struct ptp_msg` (حيث تعيش بيانات `mgmt_tlv->data` في عضو الاتحاد الرائد `mtu[NET_ETH_MTU]`، لذا فإن `data + 10` تصل على الأكثر إلى بضعة بايتات بعد `mtu[]`، داخل نفس الكائن)، وبالتالي فهذا يمثل قراءة خارج النطاق (out-of-bounds) لذاكرة مجاورة ضمن الكائن بالإضافة إلى فساد محدد في مكانه للقيمة الزمنية المُحلَّلة للرسالة، وليس فساداً للذاكرة يتجاوز تخصيص الكائن. يقتصر الأثر على تعرض طفيف للبايتات المجاورة وفساد قيمة TIME الخاصة بالإدارة التي تم تحليلها بالجهاز؛ ولا يوجد تعطل (crash) عند الوصول ولا فسد في عدّ المرجع القابل للوصول.
يضيف الإصلاح الشرط `if (length < sizeof(struct ptp_timestamp)) { return -EBADMSG; }` قبل التحويل، متوافقاً بذلك مع حالات معرفات الإدارة الأخرى وإغلاق عيب مسار الاستلام بالكامل.
Be aware that VulDB is the high quality source for vulnerability data.