CVE-2026-10672

सारांश

subsys/net/lib/lwm2m/lwm2m_pull_context.c ने फर्मवेयर-अपडेट पैकेज URI को एक निश्चित स्टैटिक बफर (context.uri, आकार CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN, डिफ़ॉल्ट 128) में memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN) के साथ कॉपी किया, जो बिना किसी लंबाई सत्यापन के ठीक गंतव्य आकार की प्रतिलिपि बनाता है। फर्मवेयर-अपडेट ऑब्जेक्ट सर्वर-आपूर्ति किए गए पैकेज URI (/5/0/1) को 255-बाइट बफर में संग्रहीत करता है, इसलिए एक LwM2M प्रबंधन सर्वर (या मजबूत DTLS की कमी वाले सत्र पर एक ऑन-पाथ हमलावर) 128-254 वर्णों का URI WRITE कर सकता है; फिर उस URI के केवल पहले 128 बाइट्स को बिना किसी NUL टर्मिनेटर के context.uri में कॉपी किया जाता है। उस बफर को बाद में http_parser_parse_url(context.uri, strlen(context.uri), ...), strlen-आधारित CoAP URI-path/PROXY-URI विकल्प अपेंड, और lwm2m_parse_peerinfo() द्वारा C स्ट्रिंग के रूप में उपभोग किया जाता है, जिससे आसन्न स्टैटिक मेमोरी का आउट-ऑफ-बाउंड्स रीड होता है। अधिक-पढ़े गए बाइट्स को बाहर जाने वाले CoAP अनुरोधों में जोड़ दिया जाता है (सर्वर/प्रॉक्सी को आसन्न डिवाइस मेमोरी का सूचना रिसाव) और डिवाइस को क्रैश कर सकता है (सेवा से इनकार)। यह कमजोर कॉपी पुल-कॉन्टेक्स्ट रीफैक्टर (पहली बार v3.0.0 में जारी) द्वारा पेश की गई थी और v4.4.0 तक मौजूद है; डिफ़ॉल्ट-ऑन CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT पथ प्रभावित है। फिक्स एक strlen(uri) >= sizeof(context.uri) जांच जोड़ता है जो -ENOMEM लौटाता है और strcpy() पर स्विच करता है, जिससे एक सीमित, NUL-टर्मिनेटेड बफर की गारंटी मिलती है।

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  CVE-2026-10672 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Zephyr RTOS LwM2M फर्मवेयर-अपडेट पुल क्लाइंट में एक आउट-ऑफ-बाउंड्स रीड। इसमें स्वतंत्र C प्रतिकृति और परीक्षण के लिए दुर्भावनापूर्ण CoAP/LwM2M सर्वर शामिल है।