JVNDB-2026-021978

Zephyr ProjectのZephyrにおける解放済みメモリの使用に関する脆弱性

ZephyrのIPv4 IGMP実装において、subsys/net/ip/igmp.cのigmp_send()関数は、パケットがnet_send_data()に渡された後にnet_pkt_iface(pkt)を使用してネットワークインターフェースをパケットから読み出します。正常送信パスでは、パケットの最後の参照は既にL2ドライバーまたはネットワークスタックのTX処理によって解放されている可能性があります（デフォルトのNET_TC_TX_COUNT=0の即時送信設定では同期的に）。その結果、net_pktのスラブブロックがフリーリストに戻されます。その後のnet_pkt_iface(pkt)の呼び出しは解放済みパケットを参照するため、use-after-freeの読み取りとなります。CONFIG_NET_STATISTICS_PER_INTERFACE設定時には、これにより発生するダングリングインターフェースポインタが統計カウンタ書き込みのためにさらに参照されます。IGMP送信パスは224.0.0.1宛ての受信IPv4 IGMPメンバーシップクエリ（net_ipv4_igmp_input - send_igmp_report/send_igmp_v3_report - igmp_send）から認証なしで到達可能であり、またローカルのマルチキャスト参加・離脱・再参加操作からも到達可能です。実際の影響は未定義動作およびサービス拒否（断続的なクラッシュや統計データの破損）を引き起こす可能性があり、制御可能な書き込みには非同期TXパスおよび同時のスラブ再利用が必要です。この脆弱性はIGMPv2サポートの導入時に発生し、v2.6.0からv4.4.0までのリリースに影響を及ぼします。修正では送信前にインターフェースポインタをキャッシュする処理を行っています。なお、類似のIPv6 MLD経路（subsys/net/ip/ipv6_mld.cのmld_send）も同じ未修正のパターンを保持しています。

Zephyr Project

• Zephyr 2.6.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free in Zephyr IPv4 IGMP send path (igmp_send)  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-10636

1. National Vulnerability Database (NVD) : CVE-2026-10636
2. 関連文書 : net: ip: igmp: fix use-after-free  zephyrproject-rtos/zephyr@0223e5e  GitHub

• [2026年07月02日]
    掲載