CVE-2026-10672

概要

subsys/net/lib/lwm2m/lwm2m_pull_context.c は、ファームウェア更新の Package URI を固定サイズの静的バッファ（context.uri、サイズ CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN、デフォルト 128）に memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN) でコピーしており、宛先サイズと正確に同じサイズを長さ検証なしでコピーしていました。Firmware-Update オブジェクトは、サーバーから供給された Package URI（/5/0/1）を 255 バイトのバッファに格納するため、LwM2M 管理サーバー（または強力な DTLS を欠くセッション上の経路上の攻撃者）は、128〜254 文字の URI を WRITE できます。その後、最初の 128 バイトのみが NUL 終端なしで context.uri にコピーされます。そのバッファは、その後 http_parser_parse_url(context.uri, strlen(context.uri), ...)、strlen ベースの CoAP URI-path/PROXY-URI オプションの追加、および lwm2m_parse_peerinfo() によって C 文字列として消費され、隣接する静的メモリの範囲外読み取りを引き起こします。過剰読み取りされたバイトは、送信 CoAP リクエストに追加され（隣接デバイスメモリのサーバー/プロキシへの情報漏洩）、デバイスをクラッシュさせる可能性があります（サービス拒否）。この脆弱なコピーは、pull-context リファクタリング（v3.0.0 で初公開）によって導入され、v4.4.0 まで存在します。デフォルトで有効な CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT パスが影響を受けます。修正では、strlen(uri) >= sizeof(context.uri) のチェックを追加して -ENOMEM を返し、strcpy() に切り替えることで、境界が保証され NUL 終端されたバッファを保証します。

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  CVE-2026-10672の概念実証（PoC）エクスプロイト。Zephyr RTOSのLwM2Mファームウェア更新プルクライアントにおける領域外読み取り（out-of-bounds read）の脆弱性です。スタンドアロンのC再現コードと、テスト用の悪意あるCoAP/LwM2Mサーバーが含まれます。