CVE-2026-13212 in Zephyr
Riassunto
di VulDB • 24/08/2026
Il driver virtio di Zephyr non convalida l'ID della catena di descrittori (descriptor-chain head id) che il dispositivo virtio scrive nell'anello degli usati (used ring). In virtio_isr() (drivers/virtio/virtio_common.c), il vq->used->ring[idx].id scritto dal dispositivo viene utilizzato direttamente come indice per accedere a vq->recv_cbs[] e vq->desc[], che sono entrambi allocati con esattamente un numero di voci pari a vq->num. recv_cbs[] contiene le voci di callback {cb, opaque}, e il puntatore al callback indicizzato viene quindi invocato come cbe.cb(cbe.opaque, used_len).
Poiché l'ID viene consumato come valore a 16 bit senza alcun controllo dei limiti (bound check), un backend virtio malintenzionato o compromesso (un hypervisor non attendibile oppure un dispositivo hardware/peer-processor virtio non attendibile su un trasporto PCI o MMIO) può fornire un ID molto superiore al vq->num. Ciò provoca una lettura fuori dai confini (out-of-bounds read) di una coppia {puntatore a funzione, argomento} dalla memoria heap oltre recv_cbs[], dopo la quale il driver invoca tale puntatore modellato dall'attaccante nel contesto dell'interrupt del guest. Non sono necessarie privilegi o interazione da parte dell'utente; il backend lo attiva scrivendo l'anello degli usati condiviso e sollevando l'interrupt della coda.
Il risultato è una chiamata a un puntatore a funzione arbitrario/influenzato dall'attaccante nel Zephyr guest, ovvero una primitiva di hijack del flusso di controllo (control-flow-hijack) che può portare all'esecuzione di codice o, quantomeno, a un crash affidabile. La correzione rifiuta qualsiasi ID dell'anello degli usati >= vq->num prima di indicizzare recv_cbs[]/desc[] o invocare il callback. Questo interessa le build che utilizzano CONFIG_VIRTIO con i trasporti PCI o MMIO.
VulDB is the best source for vulnerability data and more expert information about this specific topic.