JVNDB-2026-031090

Zephyr ProjectのZephyrにおける境界外読み取りに関する脆弱性

subsys/net/lib/ptp/tlv.c の IEEE 1588 PTP 管理メッセージパーサは、PTP_MGMT_TIME 管理IDを誤って処理します。tlv_mgmt_post_recv() 内の PTP_MGMT_TIME ケースでは、mgmt_tlv-＞data を 10バイトの struct ptp_timestamp にキャストして読み取り（その後バイトスワップして書き戻します）が、TLV データフィールドが少なくとも sizeof(struct ptp_timestamp) 分あるかどうかのチェックを最初に行っていません。同じ switch 文内の他の管理IDはすべて長さを先に検証していますが、PTP_MGMT_TIME のみそのチェックが欠けていました。渡される長さは管理データサイズ（tlv-＞length - 2）であり、上流の ptp_tlv_post_recv() のガードは tlv-＞length ＞ 2 のみを要求し、msg_tlv_post_recv() は TLV が受信バイト数内に収まることだけを検証し、IDごとの最小長はチェックしていません。したがって、ローカルのPTPセグメント上のピアが短い PTP_MGMT_TIME TLV（データが最小2バイト）を持つ PTP_MSG_MANAGEMENT メッセージを送信でき、このパーサは検証済みデータの8バイト先まで読み書きしてしまいます。メッセージタイプとTLV内容はそのままネットワークから取得されるため、CONFIG_PTP が有効な場合、隣接した攻撃者がアクセス可能な経路となります。読み過ぎと書き戻しは struct ptp_msg の割り当て内にとどまります（mgmt_tlv-＞data は先頭の mtu[NET_ETH_MTU] ユニオンメンバーに存在し、data + 10 は最大でも mtu[] の数バイト先で同じオブジェクト内です）ので、隣接しているオブジェクト内メモリの範囲外読み取りおよびメッセージのパース済みタイムスタンプの範囲内の破損が発生します。割り当て外のメモリ破損ではなく、アクセス時のクラッシュも参照カウント破損も発生しません。影響は隣接バイトの軽微な情報漏えいと、デバイスのパースされた管理TIME値の破損に限定されます。修正はキャスト前に if (length ＜ sizeof(struct ptp_timestamp)) { return -EBADMSG; } を追加し、他の管理IDケースと一致させて受信経路の欠陥を完全に修正します。

Zephyr Project

• Zephyr 3.7.0 から 4.4.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Out-of-bounds read in PTP management TLV TIME parsing in Zephyr net PTP  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 境界外読み取り(CWE-125) [その他]

1. CVE-2026-13481

1. National Vulnerability Database (NVD) : CVE-2026-13481
2. 関連文書 : net: ptp: validate TLV length for MGMT_TIME before timestamp access  zephyrproject-rtos/zephyr@de98c37  GitHub

• [2026年09月01日]
    掲載