CVE-2026-12519 in Zephyr
요약
\~에 의해 VulDB • 2026. 08. 18.
WNC-M14A2A LTE-M 모뎀 드라이버는 on_cmd_socknotifyev() 함수에서 비요청 %NOTIFYEV: 이벤트를 잘못 처리합니다. 응답 라인은 net_buf_linearize()를 통해 고정된 40바이트 스택 버퍼로 선형화되며, 이는 복사 크기를 39바이트로 제한하고 out_len <= 39를 반환합니다. 그러나 두 개의 따옴표 구분자 스캔 루프는 out_len 대신 net_buf_findcrlf()가 반환한 전체 CR/LF 구분 프레임 길이인 len에 의해 제한되었습니다.
선형화된 영역 내에 " 문자가 포함되지 않은 39바이트보다 긴 %NOTIFYEV: 라인의 경우, 루프 인덱스 p1/p2는 value[39]를 넘어adjacent stack memory(인접한 스택 메모리)를 읽으며, 우연히 따옴표 바이트가 발견되거나 인덱스가 len에 도달할 때까지 계속됩니다. 이렇게 과다하게 읽힌 문자열은 strncmp()/atoi()/LOG_*로 전달되며, 만약 경계 밖에서 따옴표 바이트가 발견되면 후속 작업인 value[p2] = '\0'는 공격자가 영향을 줄 수 있는 오프셋에서 단일 NUL(out-of-bounds) 스택 쓰기를 수행합니다.
%NOTIFYEV: 페이로드에는 네트워크 기반 콘텐츠(LTIME 네트워크 시간, SIB1 기지국 시스템 정보, CSPS/RRCSTATE 등)가 포함되어 있으므로, 악성 셀룰러 기지국, 공격적이거나 침해당한 모뎀 모듈, 또는 과장된 notify 라인을 유발하는 RF 조작은 애플리케이션 상호작용 없이도 해당 결함에 도달합니다. 핸들러는 모뎀 RX 스레드에서 비요청 이벤트 발생 시 자동으로 실행됩니다.
영향력은 스택 정보 유출(로그 및 파싱을 통해)과 모뎀 RX 스레드를 충돌시킬 수 있는(stun denial of service) 스택 손상입니다. 쓰기 오프셋은 약하게만 제어되므로 메모리 안전한 코드 실행은 입증되지 않았습니다. 수정 사항에서는 두 개의 스캔 루프 모두 out_len에 의해 제한되어 모든 접근이 선형화된 버퍼 내에 유지됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.