CVE-2026-12519 in Zephyr
Zusammenfassung
von VulDB • 17.08.2026
Der WNC-M14A2A LTE-M-Modemtreiber verarbeitet unsolicited %NOTIFYEV:-Ereignisse in on_cmd_socknotifyev() (drivers/modem/vendor_standalone/wncm14a2a.c) fehlerhaft. Die Antwortzeile wird durch net_buf_linearize() in einen festen 40-Byte großen Stack-Puffer linearisiert, was die Kopie auf maximal 39 Bytes begrenzt und out_len <= 39 zurückgibt. Die beiden Schleifen zum Scannen nach Anführungszeichen sind jedoch an len – der vollständigen CR/LF-getrennten Rahmengröße, die von net_buf_findcrlf() zurückgegeben wird – statt an out_len gebunden.
Wenn eine %NOTIFYEV:-Zeile länger als 39 Bytes ist und keine " im linearisierten Bereich enthält, laufen die Schleifenindizes p1/p2 über value[39] hinaus und lesen benachbarten Stack-Speicher, bis ein fehlplatziertes Quote-Byte gefunden wird oder der Index len erreicht. Der so ausgelesene String wird dann an strncmp()/atoi()/LOG_* übergeben, und wenn außerhalb des gültigen Bereichs ein Quote-Byte gefunden wird, führt das nachfolgende value[p2] = '\0' zu einem einzelnen NUL-Out-of-Bounds-Stack-Write an einer vom Angreifer beeinflussten Offsetposition.
Die %NOTIFYEV:-Payload enthält netzwerkabgeleitete Inhalte (LTIME-Zeit aus dem Netzwerk, SIB1-Systeminformationen der Basisstation, CSPS/RRCSTATE), sodass ein böswilliger Mobilfunk-Basisstationssender, eine schadhafte oder kompromittierte Modemmodul oder RF-Manipulationen, die eine zu lange Notify-Zeile verursachen, den Fehler ohne jegliche Anwendungsinteraktion erreichen; der Handler wird automatisch im unsolicited Event-Thread des Modems ausgeführt.
Die Auswirkung ist Out-of-Bounds Stack-Disclosure (in Logs und Parsing) sowie Stack-Korruption, die den RX-Thread des Modems zum Absturz bringen kann (Denial of Service). Der Write-Offset ist nur schwach kontrolliert, daher wird eine speichersichere Code-Ausführung nicht demonstriert. Die Korrektur bindet beide Scanning-Schleifen an out_len und hält alle Zugriffe innerhalb des linearisierten Puffers.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.