CVE-2026-12630 in Zephyr
요약
\~에 의해 VulDB • 2026. 08. 17.
Zephyr의 6LoWPAN IP Header Compression(IPHC) 압축 해제 코드에는 get_ihpc_inlined_size() 함수에서 경계 초과 읽기(out-of-bounds read) 취약점이 존재합니다(subsys/net/ip/6lo.c). 목적지 인라인 크기는 da_inline_size_table(13개의 항목 보유)에서 검색되는데, 이는 수신된 IPHC 디스패치 워드의 M, DAC 및 DAM 비트로 구성된 인덱스(iphc & NET_6LO_IPHC_DA_MASK, 0-15 범위의 4비트 값)를 사용하여 수행됩니다. 예약된 조합인 13, 14 및 15는 경계 체크가 이루어지지 않아 테이블의 끝을 넘어 읽히게 됩니다.
iphc 워드는 수신된 프레임에서 직접 가져오며, get_ihpc_inlined_size() 함수는 802.15.4 수신 경로(subsys/net/l2/ieee802154/ieee802154_6lo.c 및 ieee802154_6lo_fragment.c)의 net_6lo_uncompress()를 통해 들어오는 모든 6LoWPAN 프레임에서 호출됩니다. 따라서 무선망 또는 인접 링크 상에 있는 인증되지 않은 공격자는 특정한 목적지 주소 지정 모드 니블을 선택하여 경계 초과 인덱스를 생성하는 프레임을 작성할 수 있으며, 이는 권한이나 사용자 상호작용 없이 가능합니다.
경계 초과 값은 계산된 inline_size가 되어, 버퍼 길이 확인 전에 헤더 재구성을 주도합니다. 이 값은 *(pkt->buffer->data + sizeof(iphc) + inline_size)의 역참조와 size_t diff 계산을 위해 사용되며, 이는 오버플로우를 유발하여 패킷 버퍼에 대한 추가적인 경계 초과 읽기와 잘못된 압축 해제를 초래합니다. 실제 영향은 수신 측에서 무선 신호로 트리거 가능한 경계 초과 읽기 또는 서비스 거부(Denial-of-Service)입니다. 누설된 바이트는 공격자에게 반환되지 않습니다. 수정 방안은 테이블을 벗어난 모든 목적지 인덱스를 거부하여 잘못된 프레임의 처리를 중단합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.