CVE-2026-10672

Резюме

subsys/net/lib/lwm2m/lwm2m_pull_context.c копировал URI пакета обновления прошивки в фиксированный статический буфер (context.uri, размер CONFIG_LWM2M_SWMGMT_PACKAGE_URI_LEN, по умолчанию 128) с помощью memcpy(context.uri, uri, LWM2M_PACKAGE_URI_LEN), копируя ровно размер назначения без проверки длины. Объект Firmware-Update хранит предоставленный сервером URI пакета (/5/0/1) в буфере на 255 байт, поэтому сервер управления LwM2M (или атакующий на пути передачи данных в сессии без строгого DTLS) может ЗАПИСАТЬ URI длиной 128–254 символа; при этом в context.uri копируются только первые 128 байт без завершающего NUL. Затем этот буфер используется как C-строка в http_parser_parse_url(context.uri, strlen(context.uri), ...), в добавлениях опций CoAP URI-path/PROXY-URI на основе strlen и в lwm2m_parse_peerinfo(), что приводит к чтению за пределами границ соседней статической памяти. Прочитанные лишние байты добавляются к исходящим CoAP-запросам (раскрытие информации о соседней памяти устройства серверу/прокси) и могут вызвать сбой устройства (отказ в обслуживании). Уязвимое копирование было введено рефакторингом pull-context (впервые выпущено в v3.0.0) и присутствует вплоть до v4.4.0; затронут путь CONFIG_LWM2M_FIRMWARE_UPDATE_PULL_SUPPORT, включённый по умолчанию. Исправление добавляет проверку strlen(uri) >= sizeof(context.uri), возвращающую -ENOMEM, и переключается на strcpy(), гарантируя ограниченный буфер с завершающим NUL.

• zephyr-lwm2m-firmware-update-oob-read-cve-2026-10672-truncated-package-uriPoC

  Эксплойт доказательства концепции для CVE-2026-10672, чтение за пределами буфера в Zephyr RTOS клиенте извлечения обновления прошивки LwM2M. Включает автономную C-реализацию и вредоносный сервер CoAP/LwM2M для тестирования.