JVNDB-2026-024227

Zephyr ProjectのZephyrにおける境界外書き込みに関する脆弱性

nRF70 Wi-Fiドライバーの省電力イベントハンドラーである nrf_wifi_event_proc_get_power_save_info()（drivers/wifi/nrf_wifi/src/wifi_mgmt.c 内）は、nrf_wifi_umac_event_power_save_info イベントからTWT（Target Wake Time）フローエントリを、呼び出し元が提供する struct wifi_ps_config の固定サイズ配列 twt_flows[WIFI_MAX_TWT_FLOWS]（8要素）にコピーしています。この際、イベントが提供する num_twt_flows に対して WIFI_MAX_TWT_FLOWS との検証や event_len の確認を行わずにループ処理をしています。num_twt_flows が8を超えると、ハンドラーは通常呼び出し元のスタック上にある配列の境界を越えて書き込みを行い（約40バイトのTWTエントリの範囲外書き込み）、さらにイベントバッファの範囲外から twt_flow_info[i] を読み取ってしまいます。このイベントは、ホスト起因の省電力GETに応答して nRF70 コプロセッサのファームウェアから送出されるため、オーバーフローに至るにはファームウェアが不正または範囲外のイベントを生成する必要があります。信頼境界はホストから信頼されたコプロセッサ間にあり、直接リモートAPからの書き込みではなく、TWTフローID空間の3ビットによりフロー数への無線経由の影響は間接的かつ制限されています。影響を受けるビルドは CONFIG_NRF70_STA_MODE を有効にした v4.4.0 までのリリースです。修正では、num_twt_flows が WIFI_MAX_TWT_FLOWS を超えるか、event_len が主張されたエントリ数に対して短い場合にイベントを拒否し、呼び出し元バッファに対して NULL チェックを追加しています。

Zephyr Project

• Zephyr 4.0.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Out-of-bounds writes in nrf_wifi power-save event handling via unchecked num_twt_flows  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2026-10664

1. National Vulnerability Database (NVD) : CVE-2026-10664
2. 関連文書 : drivers: wifi: nrf_wifi: Validate PS event TWT flow count and length  zephyrproject-rtos/zephyr@a2c4324  GitHub

• [2026年07月21日]
    掲載