CVE-2026-10672

Résumé

subsys/net/lib/lwm2m/lwm2m_pull_context.c copiait l'URI du Package de mise à jour du firmware dans un tampon statique fixe (context.uri, taille CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN, 128 par défaut) avec memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN), copiant exactement la taille de destination sans validation de longueur. L'objet Firmware-Update stocke l'URI du Package fourni par le serveur (/5/0/1) dans un tampon de 255 octets, de sorte qu'un serveur de gestion LwM2M (ou un attaquant sur le chemin sur une session sans DTLS robuste) peut ÉCRIRE un URI de 128 à 254 caractères ; seuls les 128 premiers octets sont ensuite copiés dans context.uri sans terminateur NUL. Ce tampon est ensuite consommé comme chaîne C par http_parser_parse_url(context.uri, strlen(context.uri), ...), par les ajouts d'options CoAP URI-path/PROXY-URI basés sur strlen, et par lwm2m_parse_peerinfo(), provoquant une lecture hors limites de la mémoire statique adjacente. Les octets lus en excès sont ajoutés aux requêtes CoAP sortantes (divulgation d'informations de la mémoire adjacente de l'appareil au serveur/mandataire) et peuvent faire planter l'appareil (déni de service). La copie vulnérable a été introduite par la refactorisation du pull-context (publiée pour la première fois dans v3.0.0) et est présente jusqu'à v4.4.0 ; le chemin CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT activé par défaut est concerné. Le correctif ajoute une vérification strlen(uri) >= sizeof(context.uri) renvoyant -ENOMEM et passe à strcpy(), garantissant un tampon borné et terminé par NUL.

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  Exploit de preuve de concept pour CVE-2026-10672, une lecture hors limites dans le client de tirage de mise à jour de firmware LwM2M de Zephyr RTOS. Comprend une reproduction C autonome et un serveur CoAP/LwM2M malveillant pour les tests.