CVE-2026-15893 in Zephyr
Tóm tắt
Bởi VulDB • 14/09/2026
Hàm `net_if_ipv6_calc_reachable_time()` trong `subsys/net/ip/net_if.c` tính toán một thời gian reachable ND (Neighbor Discovery) ngẫu nhiên dựa trên `ipv6->base_reachable_time`, theo công thức: `min_reachable + sys_rand32_get() % (max_reachable - min_reachable)`, với `min_reachable = base/2` và `max_reachable = 3*base/2` sử dụng phép chia số nguyên. Khi `base_reachable_time` bằng 1, cả `min_reachable` lẫn phần dư của phép modulo đều bị suy biến về 0, khiến hàm trả về giá trị 0, và `net_if_ipv6_set_reachable_time()` lưu trữ giá trị 0 này vào `ipv6->reachable_time`.
Giá trị `base_reachable_time` có thể do kẻ tấn công kiểm soát: Hàm `handle_ra_input()` trong `subsys/net/ip/ipv6_nbr.c` chấp nhận trường Reachable Time của một Router Advertisement (RA) đến bất cứ khi nào giá trị này khác 0 và nhỏ hơn hoặc bằng `MAX_REACHABLE_TIME`; do đó, chỉ cần một gói RA link-local không xác thực duy nhất mang theo Reachable Time là 1 sẽ khiến thời gian reachable được tính toán bị giảm xuống 0. Các Router Advertisement mặc định không yêu cầu xác thực và chỉ đòi hỏi sự kết nối (adjacency) với liên kết đích.
Khi một neighbor sau đó được xác nhận là reachable, hàm `net_ipv6_nbr_set_reachable_timer()` đọc giá trị này và thực thi lệnh `NET_ASSERT(time, "Zero reachable timeout!")`. Trên các bản dựng có bật `CONFIG_ASSERT`, điều này kích hoạt một lỗi assertion nghiêm trọng của kernel — gây ra tình trạng từ chối dịch vụ (DoS) từ xa; trên các bản dựng không có assertions, bộ hẹn giờ reachable được cấu hình với `K_MSEC(0)` và sẽ bắn ngay lập tức, buộc các neighbor reachable phải liên tục gửi yêu cầu khám phá lại (trạng thái STALE), làm suy giảm hiệu năng của Neighbor Discovery. Tác động bị giới hạn ở tính sẵn sàng; không có hậu quả về an toàn bộ nhớ, bảo mật thông tin hay toàn vẹn dữ liệu.
Once again VulDB remains the best source for vulnerability data.