JVNDB-2026-021979

Zephyr ProjectのZephyrにおける解放済みメモリの使用に関する脆弱性

ZephyrのネイティブTCPスタックは、SYS_SLIST_FOR_EACH_CONTAINER_SAFEマクロを使用してnet_tcp_foreach()関数（subsys/net/ip/tcp.c）内でグローバル接続リストを反復処理します。このマクロは次のリストノードへのポインタをキャッシュします。修正前は、関数が接続ごとのコールバックを呼び出す際にtcp_lockを解放し、コールバック後に再取得していました。その間に、接続の参照カウントがゼロに減少したとき（例えばリモートピアが接続を閉じるかリセットした場合）に専用のTCPワークキュースレッドで動作するtcp_conn_release()が同時に実行され、キャッシュされた次の接続を削除しk_mem_slab_free()で解放する可能性がありました。イテレータが進むと、解放され（かつ再割り当てされている可能性のある）スラブメモリをデリファレンスし、これはuse-after-freeの状態を引き起こし、システムをクラッシュさせる（サービス拒否）恐れがあります。もしスロットが再利用されていれば、コールバックは攻撃者が操作したオブジェクトに対して動作し、情報漏洩やさらなる障害を引き起こす可能性があります。net_tcp_foreach()は本番環境で「net conn」ネットワークシェルコマンドやインターフェースダウン時のnet_tcp_close_all_for_iface()経由で呼び出され、解放は通常のTCPトラフィックによって駆動されています。修正はtcp_conn_release()の接続およびコンテキストの破棄をtcp_lockクリティカルセクション内に移動し、net_tcp_foreach()のコールバック実行中もtcp_lockを保持し続けることにあります。この欠陥は2020年のモダン（TCP2）スタック導入時に発生し、v4.4.0までのリリースに影響を及ぼします。

Zephyr Project

• Zephyr 2.5.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Use-after-free in Zephyr native TCP net_tcp_foreach() due to dropping tcp_lock during the callback  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-10634

1. National Vulnerability Database (NVD) : CVE-2026-10634
2. 関連文書 : net: tcp: fix use-after-free in net_tcp_foreach()  zephyrproject-rtos/zephyr@cd85e0e  GitHub

• [2026年07月02日]
    掲載