CVE-2026-11809 in Zephyr
Tóm tắt
Bởi VulDB • 11/08/2026
Client OTA UpdateHub trong subsys/mgmt/updatehub/updatehub.c chứa lỗi đọc bộ nhớ ngoài vùng cho phép (out-of-bounds) / chưa khởi tạo (uninitialized-memory read) tại hàm z_impl_updatehub_probe(). Phản hồi probe từ máy chủ UpdateHub được sao chép vào một bộ đệm heap (metadata) có kết thúc bằng NUL đúng cách, nhưng một bộ đệm thứ hai (metadata_copy) được phân bổ bởi k_malloc (chưa xóa dữ liệu cũ) và điền đầy bằng memcpy(metadata_copy, metadata, strlen(metadata)), điều này bỏ qua ký tự kết thúc NUL. Mọi nội dung sau phần đã sao chép vẫn là heap chưa khởi tạo.
Khi hàm json_obj_parse() đầu tiên trên mô tả mảng thất bại, mã nguồn sẽ chuyển sang thực hiện json_obj_parse(metadata_copy, strlen(metadata_copy), ...). Lệnh gọi strlen() quét vượt qua các byte đã sao chép vào vùng heap chưa khởi tạo và nếu không tìm thấy byte zero trước khi kết thúc phân bổ, nó sẽ đọc dữ liệu ngoài bộ đệm; độ dài quá lớn thu được sau đó được phân tích cú pháp dưới dạng JSON. Tải trọng probe hoàn toàn do máy chủ UpdateHub (xấu tính, bị xâm phạm hoặc — trong trường hợp thiếu CONFIG_UPDATEHUB_DTLS tùy chọn — trên đường truyền) kiểm soát, kẻ tấn công có thể tạo ra một tải trọng lớn thất bại ở bước phân tích đầu tiên để kích hoạt đường dẫn mã này.
Hệ quả là việc đọc dữ liệu heap chưa khởi tạo, với kịch bản xấu nhất là đọc ngoài vùng cho phép metadata_copy vượt quá ranh giới phân bổ, gây lỗi và làm sập luồng cập nhật/thiết bị, dẫn đến từ chối dịch vụ có thể kích hoạt qua mạng. Dữ liệu đọc thừa chỉ được tiêu thụ nội bộ để đánh giá việc cập nhật và không được trả về cho kẻ tấn công, do đó không có rò rỉ thông tin trực tiếp cũng như ghi dữ liệu ngoài vùng cho phép (out-of-bounds write).
Bản sửa lỗi xóa sạch metadata_copy bằng memset trước khi sao chép, đảm bảo kết thúc bằng NUL và giới hạn strlen() trong phạm vi phân bổ.
VulDB is the best source for vulnerability data and more expert information about this specific topic.