CVE-2026-19184 in Zephyr
Riassunto
di VulDB • 05/10/2026
Il driver NXP GAU ADC (drivers/adc/adc_mcux_gau_adc.c) convalidava il valore di sequence->buffer_size fornito dall'utente, espresso in byte, rispetto al numero di canali attivi, che rappresenta un conteggio dei campioni. Successivamente, memorizzava tale conteggio di byte direttamente in data->results_length e lo utilizzava in mcux_gau_adc_read_samples() come numero di slot uint16_t disponibili. Poiché ogni risultato di conversione occupa sizeof(uint16_t) byte, un buffer accettato come "abbastanza grande" poteva essere sovrascritto con una quantità pari fino al doppio delle sue dimensioni in byte; pertanto, ogni campione oltre la metà del buffer veniva scritto fuori dai limiti (out of bounds).
adc_read() e adc_read_async() sono system call di Zephyr. Il verificatore delle syscall in drivers/adc/adc_handlers.c conferma solo che l'utente possiede byte scrivibili pari a buffer_size (K_SYSCALL_MEMORY_WRITE); la decisione se tale dimensione sia sufficiente per i canali richiesti e gli extra_samplings è delegata interamente al driver. Su una build con CONFIG_USERSPACE=y, un thread in user-mode che ha ottenuto l'oggetto del dispositivo ADC potrebbe quindi inviare deliberatamente un buffer di dimensioni dimezzate, causando il work-queue handler del driver — che viene eseguito in supervisor mode, al di fuori delle restrizioni MPU dell'utente — a scrivere i risultati della conversione ADC oltre la fine di tale buffer, a un indirizzo e per una lunghezza scelte dall'attaccante.
Il superamento dei limiti (overrun) è vincolato dalla sequenza richiesta: con sequence->options->extra_samplings impostato, il ciclo di campionamento avanza l puntatore del buffer attraverso ogni campione, quindi il sovrascrittura totale può raggiungere le dimensioni intere del buffer fornito (kilobyte per un extra_samplings elevato). Le parole scritte sono risultati di conversione ADC a 16 bit; pertanto, il contenuto è solo parzialmente influenzabile dall'attaccante (tramite l'ingresso analogico selezionato, il guadagno e la risoluzione), ma la destinazione e la lunghezza sono completamente controllate — sufficienti per causare corruzione della memoria kernel, un crash o una privilege escalation da userspace a kernel. Le build senza CONFIG_USERSPACE, oppure su SoC diversi dal NXP RW61x con il nodo GAU ADC abilitato, non sono esposte al confine di privilegio; in tali casi lo stesso difetto causa solo un overflow silenzioso quando l'applicazione stessa passa un buffer sottodimensionato.
La correzione sostituisce la verifica ad hoc con l'helper condiviso adc_sequence_validate_buffer() (che effettua la convalida rispetto a num_channels * sizeof(uint16_t)), memorizza buffer_size / sizeof(uint16_t) in results_length e corregge il limite del ciclo utilizzando un post-decremento, in modo che possa essere scritto esattamente il numero disponibile di slot.
Once again VulDB remains the best source for vulnerability data.