JVNDB-2026-021977

Zephyr ProjectのZephyrにおける解放済みメモリの使用に関する脆弱性

subsys/net/ip/ipv6_mld.c の mld_send() 関数は、net_send_data(pkt) が正常に返された後に net_pkt_iface(pkt) を介してパケットのインターフェースを読み取ります。ネットワークスタックの所有権契約（include/zephyr/net/net_core.h および subsys/net/ip/net_core.c:453-460 に記載された『その呼び出し後に pkt を使用しないでください』という明示的な警告）によると、送信成功時に net_pkt の所有権は移転し、L2 ドライバがそれを解放します。たとえば、ethernet_send() は成功時にパケットの参照を解除し、subsys/net/l2/ethernet/ethernet.c:790 でそれを k_mem_slab に返却します。そのため、その後の net_pkt_iface(pkt) は既に解放済みのオブジェクトを読み取ることになってしまいます。復元されたインターフェースポインタは、その後、CONFIG_NET_STATISTICS_PER_INTERFACE が有効な場合に per-interface 統計情報の経路（net_stats.h の UPDATE_STAT/SET_STAT）によってデリファレンスされてインクリメントされます。もし解放済みのスロットが同時に再割り当てされた場合、pkt-iface は NULL（NULL ポインタデリファレンスによるクラッシュ）または古い・不正なポインタ（不要なインクリメント書き込みやメモリ破損）として読み取られる可能性があります。この経路はローカルリンク上で認証なしにリモートから到達可能です。handle_mld_query()（NET_ICMPV6_MLD_QUERY に登録）は、有効な MLDv2 一般クエリ（未指定のマルチキャストアドレス、ホップリミット 1）に応答して send_mld_report() - mld_send() を呼び出します。その結果として、リモートからトリガ可能なネットワークスタックのサービス拒否（DoS）や、僅かな確率でメモリ破損を引き起こします。修正方法は、送信前にローカルでインターフェースをキャッシュし、net_send_data() 後にパケットに触れないようにすることです。IPv4/IGMP の類似関数（igmp_send）は既に修正済みのパターンを採用しています。

Zephyr Project

• Zephyr 1.12.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free of net_pkt in IPv6 MLD send path triggerable by a link-local MLD Query  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-10637

1. National Vulnerability Database (NVD) : CVE-2026-10637
2. 関連文書 : net: ipv6: mld: fix use-after-free  zephyrproject-rtos/zephyr@3159c53  GitHub

• [2026年07月02日]
    掲載