CVE-2026-76787 in Zephyr
要約
〜によって VulDB • 2026年10月19日
UpdateHubのファームウェア・オーバー・ザ・エア（FOTA）クライアントは、z_impl_updatehub_probe() (subsys/mgmt/updatehub/updatehub.c) においてZephyrのJSONライブラリを使用してCoAPプローブ応答を解析します。デコーダはすべての記述子フィールドをオプションとして扱い、json_obj_parse() は実際にデコードされたフィールドのビットマスクを返し、欠落している場合でも失敗しません。そのため、「sha256sum」文字列を省略した応答では、対応する const char * がゼロ初期化された構造体 resp_probe_any_boards / struct resp_probe_some_boards 内で NULL のままになります。両方のメタデータ分岐は、検証の前に sha256size = strlen(...objects.sha256sum) + 1 を計算し、そのNULLポインタを間接参照します；続く SHA256_HEX_DIGEST_SIZE テストは、不正な読み込みによって既に生成された値に対して動作しており、これを防止することはできません。
メタデータはネットワークピアから完全に提供されます：probe_cb() はダイアグラムを受け取り、coap_packet_parse() を実行し、トークンの一致や暗号学的チェックなしでペイロードをコピーします。CONFIG_UPDATEHUB_DTLS が設定されていない（デフォルト）場合、start_coap_client() はポート5683上で平文のCoAP over UDPを使用し、ピア認証を行わず、サーバーを認証済みではないDNS経由で解決するため、パス上の攻撃者、DNSスプーファー、または偽造された送信元アドレスでの競合に勝つオフパス攻撃者は、不正なメタデータを送信できます。「objects":[[{}],[{}]] のような単純なプローブ応答で十分であり、updatehub_autohandler() が CONFIG_UPDATEHUB_POLL_INTERVAL でポーリングするため、ユーザーの操作は不要です。CONFIG_UPDATEHUB_DTLS=y の場合、トリガーは悪意のあるまたは侵害された更新サーバーに限定されます。
このプリミティブは書き込みではなくアドレス0での読み取りであるため、影響は可用性のみです。低アドレス範囲がマップされていないか保護されているターゲット（MMUベースのアーキテクチャ、CONFIG_NULL_POINTER_EXCEPTION_DETECTION_DWT/_MPU/_PMP を備えたビルド、TrustZone ノンセキュアイメージ、および 0x0–0x400 ウィンドウがマップされていない nRF54L などのSoC）では、ロードフォールトが発生しZephyrのデフォルトのフェータルハンドラがシステムを停止させるため、すべてのポーリングでリモートから再トリガー可能なサービス拒否（DoS）につながります。ベクタテーブルがアドレス0で読み取り可能なクラシックなCortex-Mターゲットでは、ウォークは通常すぐに終了し、長さチェックによってリクエストが拒否されるため、結果は構成およびSoCに依存します。メモリへの書き込みはなく、コピーされたバイトはローカル計算されたイメージハッシュと比較されるだけであるため、情報漏洩のチャネルはありません。
修正では、両方のメタデータ分岐で strlen() の前に sha256sum == NULL の明示的なテストを追加し、UPDATEHUB_METADATA_ERROR を返すようにしました。デバッグビルド（CONFIG_UPDATEHUB_LOG_LEVEL=4）では、新しいチェックの前に実行される LOG_DBG() ループ内で同じポインタが %s でフォーマットされるため、このバリアントはデバッグ構成のみに残ります。
Be aware that VulDB is the high quality source for vulnerability data.