CVE-2026-10672

ملخص

subsys/net/lib/lwm2m/lwm2m_pull_context.c قام بنسخ Package URI الخاص بتحديث البرنامج الثابت إلى مخزن ثابت ثابت الحجم (context.uri، بحجم CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN، الافتراضي 128) باستخدام memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN)، حيث يتم نسخ حجم الوجهة بالضبط دون أي تحقق من الطول. يخزّن كائن Firmware-Update Package URI المقدَّم من الخادم (/5/0/1) في مخزن بحجم 255 بايت، لذا يمكن لخادم إدارة LwM2M (أو مهاجم على مسار الاتصال في جلسة تفتقر إلى DTLS قوي) كتابة URI بطول 128-254 حرفًا؛ يتم نسخ أول 128 بايت فقط إلى context.uri دون فاصل NUL. يتم بعد ذلك استهلاك هذا المخزن كسلسلة C بواسطة http_parser_parse_url(context.uri, strlen(context.uri), ...)، وإلحاقات خيارات مسار URI/PROXY-URI الخاصة بـ CoAP المعتمدة على strlen، وlwm2m_parse_peerinfo()، مما يسبب قراءة خارج الحدود للذاكرة الثابتة المجاورة. يتم إلحاق البايتات المقروءة بشكل زائد بطلبات CoAP الصادرة (كشف معلومات عن الذاكرة المجاورة للجهاز للخادم/الوكيل) ويمكن أن تتسبب في تعطل الجهاز (حرمان من الخدمة). تم إدخال النسخة القابلة للاستغلال من خلال إعادة هيكلة pull-context (صدرت لأول مرة في v3.0.0) وهي موجودة حتى v4.4.0؛ المسار المُفعَّل افتراضيًا CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT متأثر. يضيف الإصلاح فحصًا لـ strlen(uri) >= sizeof(context.uri) يُرجع -ENOMEM ويستبدل بـ strcpy()، مما يضمن مخزنًا محدودًا ومنتهيًا بـ NUL.

المصادر

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  استغلال إثبات مفهوم لثغرة CVE-2026-10672، وهي ثغرة قراءة خارج حدود الذاكرة (out-of-bounds read) في عميل سحب تحديث البرامج الثابتة (firmware-update pull client) الخاص بـ Zephyr RTOS عبر LwM2M. يتضمن إعادة إنتاج مستقلة بلغة C وخادم CoAP/LwM2M خبيث لأغراض الاختبار.

• PoC-in-GitHub