JVNDB-2026-021416

Zephyr ProjectのZephyrにおける解放済みメモリの使用に関する脆弱性

ZephyrのIPv6近隣探索送信パス（subsys/net/ip/ipv6_nbr.c内のnet_ipv6_send_na、net_ipv6_send_ns、net_ipv6_send_rs）では、net_send_data(pkt)が正常に戻った後にnet_pkt_iface(pktを呼び出してインターフェイスごとのICMP送信統計を更新していました。成功時のパスではネットワークスタックがパケットの参照を所有し、解放します（L2/ドライバの送信時にunref、例: ethernet_send - net_pkt_unref）。そのため、参照カウント1の新たに割り当てられたパケットは統計更新処理が実行される前にnet_pktスラブブロックが解放される可能性があります（TXキュースレッドが無い場合は同期的に、ある場合は同時並行で実行されます）。その後のnet_pkt_iface(pkt)は解放されたスラブブロックからpkt-ifaceを読み取り、CONFIG_NET_STATISTICS_PER_INTERFACEが有効であればそのポインタを逆参照してiface-stats.icmp.sentをインクリメントし、Use-After-Free（CWE-416）が発生します。途中でスラブブロックが再割り当てされていた場合、読み取りやインクリメントは無関係または攻撃者に操作されたメモリを対象としており、統計の破損、故障やクラッシュ（サービス拒否）、限定的なメモリ破損を引き起こす可能性があります。脆弱なNeighbor Advertisement送信の経路はネイティブIPv6が有効なZephyrノードにICMPv6 Neighbor Solicitationを送信する任意の認証されていないオンリンクノードから到達可能です（handle_ns_input - net_ipv6_send_na）。v3.3.0からv4.4.0まで影響を受けており、修正では送信パケットを触る代わりに既存のiface引数を使用しています。インターフェイスごとの統計を持たない設定ではグローバルカウンタのみを逆参照しており、メモリ安全性の問題は発生しません。

Zephyr Project

• Zephyr 3.3.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free reading net_pkt iface after send in IPv6 Neighbor Discovery (ipv6_nbr.c)  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-10640

1. National Vulnerability Database (NVD) : CVE-2026-10640
2. 関連文書 : net: ipv6: nbr: fix use-after-free  zephyrproject-rtos/zephyr@aaed833  GitHub

• [2026年06月29日]
    掲載