JVNDB-2026-027510

Zephyr ProjectのZephyrにおけるNULL ポインタデリファレンスに関する脆弱性

k_thread_name_copy() システムコール（kernel/thread.c 内の z_vrfy_k_thread_name_copy()）の CONFIG_USERSPACE 検証ハンドラは、呼び出し元が指定したスレッドポインターに対して k_object_find() を呼び出し、その戻り値である struct k_object を NULL チェックせずに参照しています。k_object_find() は、渡されたポインターが登録された（静的または動的な）カーネルオブジェクトでない場合、NULL を返します。修正前のガードは ko == NULL の代わりに thread == NULL をチェックしていたため、特権のないユーザーモードスレッドが非 NULL だが登録されていないポインター（例：任意のアドレス）を渡して k_thread_name_copy() を呼び出すと、NULL チェックを通過してしまいます。その後、検証器は NULL ポインター経由で ko-＞type を読み取ります。システムコール検証器はスーパーバイザーモードで実行されるため、この NULL 参照はカーネルモードの障害となり、システムを停止または再起動させます。これにより、信頼されていないユーザーコードがユーザースペースのセキュリティ境界を越えてカーネルをクラッシュさせ（サービス拒否）、攻撃が可能となります。マーシャラーは thread 引数を事前に K_SYSCALL_OBJ 検証なしで検証器に渡すため、不正なポインターが直接欠陥に到達します。この脆弱性は CONFIG_USERSPACE および CONFIG_THREAD_NAME が有効なビルドに影響し、v2.0.0 頃に導入された特別なルックアップ以降に存在しており、v4.4.0 以前のバージョンにも含まれています。修正では、参照前に k_object_find() の戻り値（ko == NULL）をチェックするようにガードを変更しました。

Zephyr Project

• Zephyr 2.0.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : User-triggerable kernel NULL-pointer dereference (DoS) in k_thread_name_copy() syscall verifier  Advisory  zephyrproject-rtos/zephyr  GitHub

1. NULL ポインタデリファレンス(CWE-476) [その他]

1. CVE-2026-10670

1. National Vulnerability Database (NVD) : CVE-2026-10670
2. 関連文書 : kernel: add kobj NULL check in k_thread_name_copy()  zephyrproject-rtos/zephyr@4915839  GitHub

• [2026年08月10日]
    掲載