CVE-2026-13481— Zephyr PTP时间解析越界读取漏洞
一分钟漏洞结论
影响对象
zephyrproject zephyr
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
中的 IEEE 1588 PTP 管理消息解析器在处理 管理 ID 时存在缺陷。在 函数中， 分支将 强制转换为 10 字节的 结构体并进行读取（随后进行字节序转换并写回），但在此前并未检查 TLV 数据字段的长度是否至少为 。同一 语句中的其他兄弟管理 ID 分支都会先验证长度；而 是唯一缺少该检查的分支。 传入的长度参数是管理数据的大小（即 ），上游在 中的守卫条件仅要求 ，而 仅验证 TLV 是否落在已接收字节数范围内，并未针对特定 ID 设置最小长度要求。因此，本地 PTP 网段上的对端可以发送一条携带短小
可能的 ATT&CK 技术 1 AI
T1210 · Exploitation of Remote Services
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-13481 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Out-of-bounds read in PTP management TLV TIME parsing in Zephyr net PTP
来源: CVE Program / CVE List V5
Vulnerability Description
The IEEE 1588 PTP management-message parser in subsys/net/lib/ptp/tlv.c mishandles the PTP_MGMT_TIME management id. In tlv_mgmt_post_recv(), the PTP_MGMT_TIME case casts mgmt_tlv->data to a 10-byte struct ptp_timestamp and reads it (then byte-swaps and writes it back) without first checking that the TLV data field is at least sizeof(struct ptp_timestamp). Every sibling management id in the same switch validates its length first; PTP_MGMT_TIME was the only case lacking that check.
The length passed in is the management data size (tlv->length - 2), and the upstream guard in ptp_tlv_post_recv() only requires tlv->length > 2, while msg_tlv_post_recv() validates only that the TLV fits within the received byte count, not a per-id minimum. A peer on the local PTP segment can therefore send a PTP_MSG_MANAGEMENT message carrying a short PTP_MGMT_TIME TLV (data as small as 2 bytes), causing the parser to read and write 8 bytes beyond the validated data. The message type and TLV contents are taken straight off the wire, so the path is reachable by any adjacent attacker when CONFIG_PTP is enabled.
The over-read and write-back stay within the struct ptp_msg allocation (mgmt_tlv->data lives in the leading mtu[NET_ETH_MTU] union member, so data + 10 lands at most a few bytes past mtu[], inside the same object), so this is an out-of-bounds read of adjacent in-object memory plus a bounded in-place corruption of the message's parsed timestamp, not past-allocation memory corruption. Impact is limited to minor information exposure of adjacent bytes and corruption of the device's parsed management TIME value; there is no crash on the access and no reachable reference-count corruption.
The fix adds if (length < sizeof(struct ptp_timestamp)) { return -EBADMSG; } before the cast, matching the other management-id cases and fully closing the receive-path defect.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
跨界内存读
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| zephyrproject | zephyr | 3.7.0 ~ 4.4.2 | - |
|
二、漏洞 CVE-2026-13481 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-13481 的情报信息
请登录查看更多情报信息。
CVE-2026-13481 补丁与修复 (1)
CVE-2026-13481 厂商安全公告 (1)
同批安全公告 · zephyrproject · 2026-08-26 · 共 3 条
| CVE-2026-13480 | 3.1 LOW | LoRaWAN 下行处理器越界读取漏洞 |
| CVE-2026-13479 | 3.1 LOW | LoRaWAN 时钟同步应用时间应答越界读取漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-13481
暂无评论