JVNDB-2026-026245

Zephyr ProjectのZephyrにおける有効期限後のメモリの解放の欠如に関する脆弱性

kernel/poll.cのCONFIG_USERSPACE syscall verifierであるz_vrfy_k_poll()は、z_thread_malloc()を介してユーザーが提供したk_poll_event[]のカーネル側コピーを割り当て、その後各イベントのオブジェクトハンドルを検証します。この修正前は、検証がループ内でインラインのK_OOPS(K_SYSCALL_OBJ(...))を使用しており、呼び出しスレッドを終了させる際にevents_copyを解放しませんでした。ユーザースレッドは、num_events ＞= 1で偽造されたオブジェクトハンドルを渡すことで割り当てをリークさせることができます。新しく生成されたユーザースレッドは親のresource_poolを継承するため（kernel/thread.c）、攻撃者は犠牲スレッドを生成してこのリークを繰り返し、共有カーネルヒープが枯渇するまで続けます。ヒープが枯渇すると、そのプールからの正当なカーネル割り当て（k_queueのノード割り当て、k_msgqのバッファ、将来的なk_poll呼び出しなど）が失敗し、システムレベルのサービス拒否（DoS）が引き起こされます。この修正では、各インラインのK_OOPSを条件付きのgoto oops_freeに置き換え、スレッドが終了する前にバッファを解放するようにしました。影響を受けるのは、k_pollがユーザーモードに初めて公開されたv1.12.0からv4.4.1までのZephyrのリリースです。

Zephyr Project

• Zephyr 1.12.0 から 4.4.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Kernel heap memory leak in z_vrfy_k_poll() lets an unprivileged user thread exhaust the kernel resource pool  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 有効期限後のメモリの解放の欠如(CWE-401) [その他]

1. CVE-2026-10677

1. National Vulnerability Database (NVD) : CVE-2026-10677
2. 関連文書 : kernel: poll: z_vrfy_k_poll() to free memory  zephyrproject-rtos/zephyr@8dc7a37  GitHub

• [2026年07月31日]
    掲載