JVNDB-2026-023881

Zephyr ProjectのZephyrにおける境界外書き込みに関する脆弱性

ZephyrのWireGuardサブシステム（subsys/net/lib/wireguard）において、wg_crypto.cのwg_process_data_message()関数は、復号化の前に着信したトランスポートデータのペイロードをCONFIG_WIREGUARD_BUF_LENバイトの固定プールバッファにリニアライズします。関数呼び出しnet_buf_linearize(buf-＞data, data_len, pkt-＞buffer, ..., data_len)は、攻撃者由来のdata_lenを宛先容量およびコピー長の両方に渡しており、関数内部のlen = min(len, dst_len)の制限を無効化しています。data_lenは受信したUDPデータグラムの長さに由来し、wg_ctrl_recv()によって下限のみが保証されており（上限はありません）。data_lenがCONFIG_WIREGUARD_BUF_LENを超える場合、例えばバッファ長がリンクMTUよりも低く設定されている場合や、MTUがバッファサイズを上回るリンク上、あるいはそれを超える再構成されたIPv4/IPv6フラグメント経由において、基盤となるmemcpyはプールバッファの末尾を越えて書き込みを行い、境界外書き込み（CWE-787）を引き起こします。このオーバーフローはPoly1305認証チェックの前に発生するため、有効な認証子ではなく、有効な受信セッションインデックスを持つだけで十分です。悪意あるまたは侵害されたピア（あるいは確立済みセッションを操作する中間者攻撃者）はネットワーク経由で到達可能であり、リモートメモリ破壊および少なくとも確実なサービス拒否を引き起こします。この欠陥はZephyr 4.4.0で出荷されたWireGuard実装に存在しました。修正では、明示的にdata_lenがCONFIG_WIREGUARD_BUF_LENを超える場合を拒否し、linearize呼び出しで宛先容量としてnet_buf_max_len(buf)を渡すように改善しています。

Zephyr Project

• Zephyr 4.4.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unchecked WireGuard RX transport payload length causes out-of-bounds write  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2026-10665

1. National Vulnerability Database (NVD) : CVE-2026-10665
2. 関連文書 : net: wireguard: Add checks for max incoming packet length  zephyrproject-rtos/zephyr@6d8bb28  GitHub

• [2026年07月17日]
    掲載