JVNDB-2026-027762

Zephyr ProjectのZephyrにおける有効期限後のメモリの解放の欠如に関する脆弱性

ZephyrのBluetooth Meshサブネットキー管理において、サブネットキーを破棄するたびに1つのPSA Cryptoキー・スロットがリークします。subsys/bluetooth/mesh/subnet.c内のnet_keys_create()は、デフォルトで有効なCONFIG_BT_MESH_PRIV_BEACONSのもとでPrivate Beacon KeyをPSAキー・スロットにインポートしますが、これに対応するpsa_destroy_key()はCONFIG_BT_MESH_V1d1でガードされていました。このKconfigシンボルはMesh 1.0.1の明示的サポートが廃止された際に削除されたため、破棄処理は永久に死コードとなり、インポートされたキーの解放が行われません。サブネットキーを破棄するたびに、不均衡な破棄処理が実行されます。具体的にはサブネットの削除（Config Server NetKey Delete）、キーリフレッシュ手続きの完了（古いキーセットの退役）、およびノードのリセットや再プロビジョニング時に発生します。これらのOTA（オーバーザエア）トリガーはノードのデバイスキーのもとでのみ処理されるため、プロビジョナーやネットワーク管理者がBluetooth Meshネットワーク経由でノードを通じて操作可能です。デフォルトのCONFIG_MBEDTLS_PSA_KEY_SLOT_COUNTを16に設定している場合、繰り返しの追加・削除やキーリフレッシュのサイクルはおよそ12回で共有PSAキー・スロットプールを使い果たします。使い果たすとbt_mesh_private_beacon_key()やサブネット作成が失敗し、ノードはサブネット追加やキーリフレッシュを完了できなくなり、デバイス上の他のPSAクリプト利用者もリソース不足に陥ります。この問題はデバイスの再起動まで解決されません。今回の修正により、破棄時のガードがインポート時のガード（CONFIG_BT_MESH_PRIV_BEACONS）と一致し、各キー・スロットが正しく解放されるようになりました。

Zephyr Project

• Zephyr 3.6.0 以上 4.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PSA key-slot leak in Bluetooth Mesh subnet deletion leading to resource-exhaustion DoS  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 有効期限後のメモリの解放の欠如(CWE-401) [その他]

1. CVE-2026-10774

1. National Vulnerability Database (NVD) : CVE-2026-10774
2. 関連文書 : Bluetooth: Mesh: fix PrivateBeaconKey PSA key leak on subnet delete  zephyrproject-rtos/zephyr@f573da9  GitHub

• [2026年08月12日]
    掲載