CVE-2026-10672

Riepilogo

subsys/net/lib/lwm2m/lwm2m_pull_context.c copiava l'URI del pacchetto dell'aggiornamento firmware in un buffer statico fisso (context.uri, dimensione CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN, default 128) con memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN), copiando esattamente la dimensione di destinazione senza alcuna validazione della lunghezza. L'oggetto Firmware-Update memorizza l'URI del pacchetto fornito dal server (/5/0/1) in un buffer di 255 byte, quindi un server di gestione LwM2M (o un attaccante on-path su una sessione priva di DTLS robusto) può SCRIVERE un URI di 128-254 caratteri; solo i primi 128 byte vengono poi copiati in context.uri senza terminatore NUL. Quel buffer viene successivamente consumato come stringa C da http_parser_parse_url(context.uri, strlen(context.uri), ...), dagli append di opzioni CoAP URI-path/PROXY-URI basati su strlen e da lwm2m_parse_peerinfo(), causando una lettura fuori dai limiti della memoria statica adiacente. I byte letti oltre i limiti vengono aggiunti alle richieste CoAP in uscita (divulgazione di informazioni sulla memoria adiacente del dispositivo al server/proxy) e possono causare il crash del dispositivo (denial of service). La copia vulnerabile è stata introdotta dal refactor del pull-context (rilasciato per la prima volta in v3.0.0) ed è presente fino alla v4.4.0; il percorso CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT, attivo per impostazione predefinita, è interessato. La correzione aggiunge un controllo strlen(uri) >= sizeof(context.uri) che restituisce -ENOMEM e passa a strcpy(), garantendo un buffer limitato e terminato da NUL.

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  Exploit proof-of-concept per CVE-2026-10672, una lettura fuori dai limiti nel client pull di aggiornamento firmware LwM2M di Zephyr RTOS. Include una riproduzione C standalone e un server CoAP/LwM2M dannoso per i test.