CVE-2026-17054 in Zephyr
요약
\~에 의해 VulDB • 2026. 09. 21.
Espressif ESP-hosted Wi-Fi 드라이버(drivers/wifi/esp_hosted/)는 esp_hosted_event_task()에서 SPI를 통해 ESP 코프로세서로부터 수신된 프레임들을 파싱합니다. 제어 프레임의 경우, 이 드라이버는 16비트 TLV 필드인 data_length 값을 네트워크 상(wire)에서 그대로 추출하여 frame.data_value와 frame.data_length를 인자로 pb_istream_from_buffer(frame.data_value, frame.data_length)에 전달하는데, 이때 해당 길이가 프레임 길이 또는 수신 버퍼 크기와 일치하는지 검증하지 않습니다. frame.data_value는 3188바이트의 스택 객체 내에서 26바이트 오프셋 위치에 있으므로, 최대 0xFFFF까지의 data_length 값은 pb_decode()가 해당 객체의 끝을 약 62KB 이상 넘어가는 지점까지 읽도록 만듭니다.
분할된 제어 응답에서 첫 번째 프래그먼트에만 TLV 헤더가 포함됩니다. 수정 전 드라이버는 하프덱스(Half-duplex) SPI 트랜잭션을 수행했으며, 호스트가 전송하는 동안 코프로세서가 큐에 쌓은 프레임들은 silently discarded(무시됨/폐기됨)되었습니다(esp_hosted_hal_spi_transfer() 함수에서 RX 버퍼가 TX 버퍼와 aliasing 되었습니다). 폐기된 프레임이 분할 응답의 첫 번째 프래그먼트인 경우, 드라이버는 다음 프래그먼트를 새로운 프레임으로 처리합니다. 각 프래그먼트별 헤더와 체크섬은 유효하므로 두 가지 검증 단계 모두 통과하며, 이로 인해 원시 프로토obuf continuation bytes에서 TLV 헤더가 읽혀집니다. 이러한 바이트들은 인접한 비인증 공격자가 크기와 내용을 영향을 줄 수 있는 제어 응답(특히 라디오 범위 내 액세스 포인트의 개수와 SSID 길이에 따라 증가하는 AP 스캔 목록)으로부터 유래합니다.
이 취약점의 영향은 정보 노출보다는 서비스 거부(Denial of Service, DoS)입니다. RAM 영역의 끝을 넘어 읽는 것은 장치에서 faults를 발생시키며, 드라이버에서는 CONFIG_NANOPB_ENABLE_MALLOC가 선택되어 있으므로 경계를 벗어난 지점에서 읽혀진 garbage length prefixes도 힙 할당을 유발합니다. 그러나 경계 밖 바이트 자체는 애플리케이션에 도달하지 않습니다: pb_decode()는 원시 프로토obuf continuation bytes를 대상으로 스트림 중간에서 시작되므로 거의 항상 즉시 실패하며, 만약 디코딩이 성공하더라도 여전히 esp_hosted_response()와 esp_hosted_ctrl_response()의 검증을 통과해야 합니다. 전자는 대기 중인 요청에 대한 정확한 msg_id 일치를 요구하고, 후자는 success resp(성공 응답)를 요구합니다. 공격자가 영향을 줄 수 있는 것은 정당한 제어 응답의 크기와 내용이지, 어긋난 바이트들로부터 디코딩되는 구조가 아닙니다.
동일한 수신 경로에서 두 가지 관련 결함이 서비스 거부를 영구적인 것으로 만듭니다: 프래그먼트 재조립 가드(guard)는 ESP_FRAME_MAX_PAYLOAD 대신 ESP_FRAME_SIZE로 크기가 설정되었으며, 트리거될 경우 프레임을 폐기하는 대신 유일한 RX 스레드에서 반환합니다. 또한 처리되지 않은 제어 이벤트들은 드레인(drain)할 대상이 없는 8개 항목 큐에 k_msgq_put(..., K_FOREVER)를 사용하여 큐잉되므로 해당 스레드를 차단시킵니다. 이 드라이버에는 워치독(watchdog) 또는 재시작 경로(restart path)가 없으므로, 두 조건 중 하나라도 발생하면 장치가 재부팅될 때까지 모든 Wi-Fi 수신이 중단됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.