JVNDB-2026-024226

Zephyr ProjectのZephyrにおける解放済みメモリの使用に関する脆弱性

Zephyrの動的カーネルオブジェクトトラッキング（kernel/userspace/userspace.c、旧kernel/userspace.c）は、動的に割り当てられたカーネルオブジェクトの二重連結リスト（obj_list）を管理しています。このリストの反復処理はk_object_wordlist_foreach()でlists_lockの下でSAFEイテレータ（次のノードをキャッシュする）を使用していましたが、ノードの削除と解放は別の異なるスピンロック下で行われていました。具体的にはk_object_free()内のobjfree_lockとunref_check()内のobj_lockです。SMPシステム上では、あるCPUがlists_lockの下でobj_listをイテレートしている間に、別のCPUが次のポインタとしてイテレータがキャッシュしていたdyn_objノードをunlinkしk_free()する可能性があり、これによりイテレータが解放済みのカーネルメモリを参照してしまいます（use-after-free/ダングリングリストトラバーサル）。この競合状態に関わる操作はすべて、特権のないユーザーモードスレッドからシステムコール経由で到達可能です。k_object_alloc/k_object_alloc_sizeおよびk_object_releaseはunref_check()（obj_lock下）を介して削除を駆動し、k_thread_abortおよびスレッド作成はk_thread_perms_all_clear()/k_thread_perms_inherit()（lists_lock下）を介してイテレーションを駆動します。そのため、CONFIG_SMP+CONFIG_USERSPACEビルド上の権限の低いユーザースレッドがユーザースペースのセキュリティ境界を越え、カーネルのオブジェクト追跡構造を破損させる可能性があり、その結果カーネルメモリ破損（潜在的な権限昇格）やカーネルクラッシュ（サービス拒否）が引き起こされる恐れがあります。修正はobjfree_lockを廃止し、k_object_free()内のfind+remove処理やk_thread_perms_clear()内のunref_check()周辺も含めて、すべてのobj_listの変更をlists_lockの下で直列化することにより対応されました。本脆弱性はCONFIG_SMP+CONFIG_USERSPACE+CONFIG_DYNAMIC_OBJECTS構成に影響し、2019年のスピンロック化（コミット8a3d57b6cc6、v1.14.0で初出）からv4.4.0まで出荷されていました。

Zephyr Project

• Zephyr 1.14.0 から 4.4.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : kernel: SMP use-after-free in dynamic object list due to inconsistent locking.  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 解放済みメモリの使用(CWE-416) [その他]

1. CVE-2026-10667

1. National Vulnerability Database (NVD) : CVE-2026-10667
2. 関連文書 : kernel: userspace: fix SMP use-after-free  zephyrproject-rtos/zephyr@fdc42fa  GitHub

• [2026年07月21日]
    掲載