CVE-2026-12519 in Zephyr
要約
〜によって VulDB • 2026年08月18日
WNC-M14A2A LTE-Mモデムドライバは、on_cmd_socknotifyev() (drivers/modem/vendor_standalone/wncm14a2a.c) において、未要求の %NOTIFYEV: イベントを誤って処理します。応答行は net_buf_linearize() を介して固定された40バイトのスタックバッファに線形化され、コピーは39バイトで制限され out_len <= 39 が返されます。しかし、2つの引用符区切りスキャンループは、out_len ではなく net_buf_findcrlf() から返される完全な CR/LF 区切りのフレーム長である len で境界が設定されていました。
線形化された領域内に "（ダブルクォート）を含まない39バイトより長い %NOTIFYEV: ラインの場合、ループインデックス p1/p2 は value[39] を超えて歩み、 stray な引用符バイトが見つかるかインデックスが len に達するまで隣接するスタックメモリを読み取ります。その後、過剰に読み込まれた文字列は strncmp()/atoi()/LOG_* に渡され、境界外の引用符バイトが見つかった場合、その後の value[p2] = '\0' により攻撃者が影響を与えたオフセットで単一の NUL バイトの境界外スタック書き込みが行われます。
%NOTIFYEV: ペイロードにはネットワーク由来の内容（LTIME ネットワーク時刻、SIB1 ベースステーションシステム情報、CSPS/RRCSTATE）が含まれるため、不正なセルラーベースステーション、悪意のあるまたは侵害されたモデムモジュール、あるいは過長の通知ラインを引き起こす RF 操作によるものが、アプリケーションの相互作用なしでこの欠陥に到達します。ハンドラはモデムの RX スレッドでの未要求イベントに対して自動的に実行されます。
影響は、ログおよびパース処理へのスタック情報漏洩（out-of-bounds stack disclosure）と、モデム RX スレッドをクラッシュさせる可能性のあるスタック破損（サービス拒否：Denial of Service）です。書き込みオフセットは弱く制御されているのみであるため、メモリ安全なコード実行は実証されていません。修正では両方のスキャンループの境界が out_len に設定され、すべてのアクセスが線形化されたバッファ内に収まるようにされています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.