CVE-2026-26399: Stack-basierte Use-After-Return in Arduino_Core_STM32 (Legacy-Versionen)

Zusammenfassung

In Legacy-Versionen von Arduino_Core_STM32 vor Version 1.7.0 besteht eine stack-basierte Use-After-Return-Schwachstelle.

Das Problem befindet sich in der Implementierung von pwm_start(), wo ein TIM_HandleTypeDef-Objekt auf dem Stack allokiert und seine Adresse an die HAL-Initialisierungslogik übergeben wird. Dieser Zeiger kann später in einem globalen Timer-Handle-Register gespeichert und asynchron von Interrupt-Service-Routinen dereferenziert werden, nachdem der ursprüngliche Stack-Frame bereits zurückgekehrt ist.

Diese Schwachstelle wurde von MITRE als CVE-2026-26399 zugewiesen.

Betroffenes Produkt

• Produkt: Arduino_Core_STM32
• Hersteller / Projekt: stm32duino / STMicroelectronics-Ökosystem
• Betroffene Versionen: v0.1.0 bis v1.6.1
• Behobene Version: v1.7.0

Schwachstellentyp

• CWE-562: Use After Return
• Stack-basierter hängender Zeiger / Use-After-Return

Technische Details

In der Legacy-Implementierung von pwm_start() wird eine TIM_HandleTypeDef-Struktur als lokale Stack-Variable erstellt:

void pwm_start(...) {
    TIM_HandleTypeDef timHandle = {};
    HAL_TIM_PWM_Init(&timHandle);
    ...
}

Die Adresse dieses lokalen Objekts wird an die HAL-Support-Logik übergeben und kann in globalem Timer-Verwaltungszustand gespeichert werden, beispielsweise in einem globalen Timer-Handle-Register.

Nachdem pwm_start() zurückkehrt, ist das Stack-Objekt nicht mehr gültig. Nachfolgende asynchrone Timer-Interrupt-Handler können den veralteten Zeiger jedoch weiterhin dereferenzieren, was zu Speicherkorruption und undefiniertem Verhalten führt.

Auswirkungen

Mögliche sicherheitsrelevante Auswirkungen umfassen:

• Denial of Service (z. B. Absturz oder HardFault)
• Potenzielle Codeausführung unter günstigen Speicherlayout- und Kontrollbedingungen

Da es sich um ein Problem auf Bibliotheksebene handelt, hängt die tatsächliche Ausnutzbarkeit davon ab, wie die verwundbare Bibliothek in die Firmware integriert ist und wie Angreifer-kontrollierte Eingaben die Stack-Wiederverwendung und das Interrupt-Timing beeinflussen können.

Betroffene Komponenten

• cores/arduino/stm32/analog.c
• pwm_start()
• TIM_HandleTypeDef
• Globale Timer-Handle-Verfolgungslogik (z. B. timer_handles)

Behebung

Das Problem scheint in Version 1.7.0 indirekt behoben worden zu sein, im Rahmen einer Refaktorierung, die den bisherigen stack-basierten Verarbeitungspfad durch ein anderes Timer-Verwaltungsdesign ersetzte. Für die Legacy-Schwachstelle scheint kein dediziertes Sicherheitsbulletin veröffentlicht worden zu sein.

Entdeckung

Dieses Problem wurde während Firmware-Sicherheitsforschung identifiziert, die Fuzzing und Root-Cause-Analyse von Legacy-STM32-basierter Firmware umfasste, die auf Arduino_Core_STM32 aufbaut.

Herstellerkontakt

Das PSIRT des Herstellers wurde kontaktiert. Die Antwort deutete an, dass aktuelle Versionen nicht betroffen sind, da das Problem bereits in Version 1.7.0 behoben wurde, jedoch scheint der Hersteller zu diesem Zeitpunkt keine dedizierte CVE beantragt zu haben.

Anerkennung

Entdeckt von Jin Chang.

Referenzen

• Projekt-Repository: https://github.com/stm32duino/Arduino_Core_STM32
• CVE-ID: CVE-2026-26399