CVE-2026-12522 in Zephyr
Resumen
por VulDB • 2026-08-22
El manejador de respuestas +CGCONTRDP: on_cmd_atcmdinfo_ipaddr() del controlador del módem celular HL7800 en drivers/modem/vendor_standalone/hl7800.c analiza los parámetros dinámicos del contexto PDP (dirección local, máscara de subred, puerta de enlace y servidores DNS) que la red celular asigna al dispositivo. La respuesta se linealiza en un buffer de pila de 256 bytes, tras lo cual se calcula la longitud de cada campo de dirección a partir de las posiciones de los delimitadores coma/punto en los datos proporcionados por la red y se utiliza directamente como el argumento de longitud para strncpy() hacia el buffer fijo de pila temp_addr_str (de 64 bytes) (y dns_v4_string de iface_ctx, de 16 bytes).
Dado que la longitud del campo deriva de posiciones de delimitadores controladas por un atacante y no se acota frente al búfer de destino, un único campo puede ser mucho mayor a 64 bytes. Una red celular maliciosa o suplantada (por ejemplo, una estación base fraudulenta) puede devolver una respuesta +CGCONTRDP elaborada con un campo de dirección excesivamente largo, lo que provoca que strncpy() escriba más allá de temp_addr_str en la pila del hilo de trabajo del módem, además de realizar una escritura NUL fuera de los límites en temp_addr_str[addr_len].
No se requieren privilegios ni interacción por parte del usuario: el propio dispositivo emite la consulta AT+CGCONTRDP=1 durante el acoplamiento normal a la red y analiza lo que devuelva la red. El desbordamiento corrompe la memoria adyacente de la pila en contexto supervisor, generando como mínimo un fallo activable remotamente y potencialmente una secuestro del flujo de control (control-flow hijacking) en objetivos sin protección de pila.
La solución acota la longitud de cada campo frente a su búfer de destino (temp_addr_str y dns_v4_string) antes de cada copia, rechazando los campos excesivamente largos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.