JVNDB-2026-022671

Zephyr ProjectのZephyrにおける境界外書き込みに関する脆弱性

ZephyrのIPソケットrecvmsg()実装（subsys/net/lib/sockets/sockets_inet.cのinsert_pktinfo()）は、ユーザーが提供した補助データ（msg_control）バッファを、ペイロード長のみ（msg_controllen ＜ pktinfo_len）で検証してから、整列されたcmsgヘッダーとペイロードで構成される完全なコントロールメッセージを書き込みます。チェックがcmsgヘッダーのサイズを省略していたため、長さが過小検査の範囲内（例えば64ビットターゲットのIPv4 IP_PKTINFOで16〜27バイト、実際には単一要素が28バイトを占める）のコントロールバッファは保護を通過しますが、バッファの終端を1つのcmsgヘッダー分（約12バイト）超える固定サイズの境界外書き込みを引き起こします。CONFIG_USERSPACE下では、recvmsg検証器がmsg_controllenサイズのカーネルヒープ上の制御バッファコピーを割り当てて実装を実行するため、オーバーフローはカーネルヒープメモリを破損し、権限のないユーザースペーススレッドからトリガー可能です。スーパーバイザーモードでは呼び出し元のバッファを破損します。この経路は、UDP/IPソケットでIP_PKTINFO/IPV6_RECVPKTINFO（またはhoplimit/timestamping）が有効で、アプリケーションが小さすぎる制御バッファでrecvmsg()を呼び出しデータグラムを受信した場合に到達可能です。上書きされたバイトの一部（ipi_addrの宛先IP）は受信パケットにより影響を受けます。修正としては、容量チェックにNET_CMSG_SPACE(pktinfo_len)（整列されたヘッダー＋整列されたデータ）を使用し、バッファが小さすぎる場合は-ENOMEMを返すようにしました。影響を受けるバージョンはv3.6.0からv4.4.0までです。

Zephyr Project

• Zephyr 3.6.0 から 4.4.1

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

リリース情報、またはパッチ情報が公開されています。参考情報を参照して適切な対策を実施してください。

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2026-10643

1. National Vulnerability Database (NVD) : CVE-2026-10643
2. 関連文書 : net: sockets: fix inet recvmsg ancillary buffer accounting  zephyrproject-rtos/zephyr@01fe77b  GitHub

• [2026年07月08日]
    掲載