JVNDB-2026-021973

Zephyr ProjectのZephyrにおけるNULL ポインタデリファレンスに関する脆弱性

subsys/mgmt/mcumgr/transport/src/serial_util.c にある mcumgr_serial_process_frag() は、NULL チェックを行う前に smp_packet_alloc() の結果に対して net_buf_reset() を呼び出しています。smp_packet_alloc() は共有 MCUmgr パケットプール（CONFIG_MCUMGR_TRANSPORT_NETBUF_COUNT、デフォルト4）に対して net_buf_alloc(K_NO_WAIT) を使用しており、プールが枯渇すると NULL を返します。デフォルトのビルドでは net_buf_reset 内の __ASSERT_NO_MSG は無効であるため、net_buf_simple_reset が NULL ポインタを通じて書き込み（buf-len = 0; buf-data = buf-__buf）を行い、フォルトやクラッシュを引き起こします。このフラグメントデータは MCUmgr のシリアル/UART/シェルコンソールトランスポート（smp_uart.c、smp_raw_uart.c、smp_shell.c）の攻撃者制御のバイトからこのコードに到達し、ほぼすべての新しいパケットの開始時に新しいバッファが割り当てられます。シリアル/コンソールリンクの攻撃者は、トランスポートを過剰に利用して4エントリのバッファプールを枯渇させ、NULL デリファレンスを誘発してデバイスをクラッシュ（サービス拒否）させることが可能です。この欠陥は元の MCUmgr の再設計以降に導入されており、Zephyr v4.4.0 で出荷されました。修正内容は NULL チェックを net_buf_reset の呼び出し前に移動させることです。

Zephyr Project

• Zephyr 4.4.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : NULL-pointer dereference in MCUmgr serial/console SMP transport on buffer-pool exhaustion  Advisory  zephyrproject-rtos/zephyr  GitHub

1. NULL ポインタデリファレンス(CWE-476) [その他]

1. CVE-2026-10648

1. National Vulnerability Database (NVD) : CVE-2026-10648
2. 関連文書 : mgmt: mcumgr: transport: Fix resetting invalid buffer  zephyrproject-rtos/zephyr@6f363ec  GitHub

• [2026年07月02日]
    掲載