JVNDB-2026-022550

Zephyr ProjectのZephyrにおける境界外読み取りに関する脆弱性

Zephyr BluetoothコントローラのISO Adaptation Layer(subsys/bluetooth/controller/ll_sw/isoal.c)において、フレーム化されたISO PDUの開始セグメントの長さフィールドが検証されていません。Bluetooth仕様では、開始セグメント(sc=0)は常に3バイトのtime_offsetを持つため、そのセグメントヘッダのlenは少なくともPDU_ISO_SEG_TIMEOFFSET_SIZE(3)でなければなりません。しかし、isoal_check_seg_header()はlen ＜ 3の開始セグメントを正当なものとみなして受け入れており、続いてisoal_rx_framed_consume()はuint8_tでlength = seg_hdr-＞len - 3を計算するため、lenが0〜2の場合には253〜255へアンダーフローしてしまいます。この過大なlengthがisoal_rx_append_to_sdu()に渡され、同関数のコピー処理は送信先SDUバッファサイズに対してしかクランプされず、送信元PDUの長さには制限がかからないため、受信したPDUを越えて最大約255バイト分のコントローラメモリが(sink_sdu_write_hci()/net_buf_add_memを経由して)HCI ISOデータパケットにコピーされ、ホストに渡されます。PDUとそのセグメントヘッダは完全に攻撃者が制御可能であり、無線経由で到達します。これはCISおよびBIS同期のHCIデータ経路(hci_driver.c)とベンダー経路(ull_iso.c)の双方から到達可能であるため、リモートのCISピアや、デバイスが同期しているブロードキャスタにより範囲外読み取りが誘発され、ホストへの情報漏えいおよびサービス拒否(フォールトや不正に肥大化したHCI ISOパケット)を引き起こす可能性があります。この欠陥は、フレーム化ISO受信が導入されたv3.0.0以降のすべてのZephyrリリースに影響します。修正としては、isoal_check_seg_header()でsc=0かつlen ＜ 3のセグメントを拒否し、isoal_rx_framed_consume()では減算の前にガードを追加します。

Zephyr Project

• Zephyr 3.3.0 から 4.4.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : bt: OOB read in controller ISOAL framed receive path via undersized timeoffset segment headers  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 境界外読み取り(CWE-125) [その他]

1. CVE-2026-9263

1. National Vulnerability Database (NVD) : CVE-2026-9263
2. 関連文書 : Bluetooth: Controller: Fix OOB read in ISOAL  zephyrproject-rtos/zephyr@28080d8  GitHub

• [2026年07月08日]
    掲載