- Son 7 gün
- CWE-476
CVE-2026-79976
Zephyr MCTP I2C+GPIO hedef bağlayıcısında I2C STOP sonrası NULL işaretçi dereferansı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- zephyr
ÖzetTürkçe
MCTP-over-I2C+GPIO hedef bağlayıcısında (subsys/pmci/mctp/mctp_i2c_gpio_target.c), bir I2C STOP koşulunda seçili register (b->reg_addr) ve veri aşaması bayrağı (b->rxtx) temizlenmediği için NULL işaretçi dereferansı oluşmaktadır. Bu durumda hedef, tamponu zaten tüketilip NULL yapılmış bir paketi işaret eden register seçili halde kalır. Bus üzerindeki bir denetleyici, iki sıradan işlemle (MCTP_I2C_GPIO_RX_MSG_ADDR'a paket yazma ve ardından STOP, ardından çıplak bir okuma işlemi ve STOP) mctp_i2c_gpio_target_stop içindeki aynı dalı NULL tamponla yeniden tetikleyebilir; bu durumda mctp_bus_rx NULL paketle çağrılır. Aynı durumun iletim tarafında da var olduğu belirtilmektedir: bayat MCTP_I2C_GPIO_TX_MSG_ADDR seçimi, b->tx_pkt temizlendikten sonra b->tx_pkt->end alanına erişir ve b->tx_complete sinyalini ikinci kez göndererek bir sonraki giden paketin düşmesine neden olur. Kesme işleyicisinde gerçekleşen dereferans, adres 0'a erişimi yakalayan hedeflerde fatal istisna ve cihaz sıfırlanması ya da durması ile sonuçlanır; paylaşılan yönetim busunda denetleyici rolü üstlenebilen herhangi bir cihaz (örneğin bir MCTP uç noktasındaki ya da BMC üzerindeki ele geçirilmiş yazılım) tarafından hizmet dışı bırakma saldırısı yapılabilir. Adres 0'ın okunabilir olduğu donanımlarda etki, hatalı bir paket tamponunun MCTP yığınına iletilmesi ve iletim paketlerinin kaybolması ile sınırlıdır. Saldırgan kontrollü bir değer yazılmaz ve gizlilik ya da bütünlük sınırı aşılmaz. Düzeltme, her STOP'ta b->reg_addr değerini MCTP_I2C_GPIO_INVALID_ADDR olarak sıfırlar ve b->rxtx bayrağını temizler. Etkilenen yapılandırmalar, deneysel CONFIG_MCTP alt sistemini CONFIG_MCTP_I2C_GPIO_TARGET=y ile etkinleştiren derlemelerdir. Etkilenen sürümler: zephyrproject zephyr >= 4.3.0, <= 4.4.2. CVSS 3.1 vektörü: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H (puan 7.1, YÜKSEK). Zayıflık türü: CWE-476.
Kaynaktaki açıklama (İngilizce)
The MCTP-over-I2C+GPIO target binding in subsys/pmci/mctp/mctp_i2c_gpio_target.c emulates a small pseudo-register file, where the bus controller first writes a register number and then writes or reads payload bytes. The selected register (b->reg_addr) and the data-phase flag (b->rxtx) were never cleared when the controller issued an I2C STOP, so after a completed transfer the target still had a data register selected while the packet buffer that register refers to had already been consumed and set to NULL by mctp_i2c_gpio_target_stop().
A controller on the bus can re-enter the same branch of mctp_i2c_gpio_target_stop() with a NULL buffer using two ordinary transactions and no authentication: first a normal packet write to MCTP_I2C_GPIO_RX_MSG_ADDR followed by STOP (which delivers and frees b->rx_pkt), then a bare read transaction followed by STOP. The failing read_requested() call leaves the stale state untouched and the I2C driver still delivers the STOP callback, which then calls mctp_bus_rx() with a NULL packet. The symmetric case exists on the transmit side, where the stale MCTP_I2C_GPIO_TX_MSG_ADDR selection dereferences b->tx_pkt->end after b->tx_pkt has been cleared and additionally signals b->tx_complete a second time, causing the next outbound packet to be dropped.
The dereference happens in the I2C target interrupt handler, so on any target that traps accesses to address 0 the result is a fatal exception and a device reset or halt — a denial of service inflicted by any device able to act as controller on the shared management bus (for example compromised firmware on a peer MCTP endpoint or on the BMC). On parts where address 0 is readable, the impact degrades to a malformed packet buffer being handed to the MCTP stack and lost transmit packets. No attacker-controlled value is written and no confidentiality or integrity boundary is crossed.
The fix resets b->reg_addr to MCTP_I2C_GPIO_INVALID_ADDR and clears b->rxtx at every STOP, so a new register must be selected before any data phase can run again. Only builds that opt into the experimental CONFIG_MCTP subsystem with CONFIG_MCTP_I2C_GPIO_TARGET=y are affected.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zephyrproject zephyr | ≥ 4.3.0, ≤ 4.4.2 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.