CVE-2026-22013 – Débordement de tampon du descripteur USB du portefeuille matériel

Code du programme (simulation de firmware C)

// hw_wallet_usb.c - USB descriptor parsing with fixed buffer
#include <string.h>
void handle_usb_setup(char *data, int len) {
    char descriptor[32];
    if (len > 0 && data[0] == 0x06) { // GET_DESCRIPTOR
        // Copy descriptor payload without bounds check
        memcpy(descriptor, data+1, len-1);  // overflow if len>33
    }
}
int main() {
    char malicious[64];
    memset(malicious, 'A', 63);
    malicious[0] = 0x06;
    handle_usb_setup(malicious, 64);
    return 0;
}

CVE-2026-22013 – Débordement de tampon du descripteur USB du portefeuille matériel

Vue d'ensemble

La pile USB d'un portefeuille matériel présente un débordement de tampon de pile lors de l'analyse d'une requête GET_DESCRIPTOR avec une charge utile surdimensionnée. Un attaquant disposant d'un accès USB physique peut exploiter cette faille pour écraser l'adresse de retour et obtenir l'exécution de code, permettant d'extraire les phrases de récupération.

Détails de la vulnérabilité

• Type : Débordement de tampon de pile
• Impact : Compromission totale de l'appareil, extraction des phrases de récupération.
• Cause racine : Le champ de longueur du descripteur n'est pas validé avant la copie dans un tampon de taille fixe.

Démonstration de l'exploit

Compilez pour l'architecture cible et exécutez (simulation) :

gcc -o hw_wallet_usb hw_wallet_usb.c -fno-stack-protector
./hw_wallet_usb

Le programme plante en raison de la corruption de la pile.