CVE-2026-17052— Tgpio_pin_read_ts_ec 用户指针校验缺失导致内存写
一分钟漏洞结论
影响对象
zephyrproject zephyr
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
驱动程序 中的时间感知 GPIO 系统调用验证处理函数 仅验证了端口设备对象，并将由调用者提供的时间戳和事件计数输出指针直接传递给驱动程序，而未执行 检查。同一文件中的其他处理函数（如 和 ）已经执行了该检查，因此这一遗漏导致一个系统调用缺乏保护。 由于 被声明为 ，在启用 的情况下，任何被授权访问 TGPIO 设备对象的非特权用户态线程，都可以使用任意指针值来调用该函数。位于 中的 仅对引脚索引进行了边界检查，随后无条件地执行 和 ，以用户态调用者选择的地址，在特权级（内核态）执行两次 8 字节的存储操作。 这造
可能的 ATT&CK 技术 1 AI
T1068 · Exploitation for Privilege Escalation影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| zephyrproject | zephyr | 3.5.0< 4.3.2 |
affected |
4.4.0< 4.4.2 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-17052 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Missing user-pointer validation in tgpio_pin_read_ts_ec syscall handler allows arbitrary supervisor-memory write from userspace
来源: CVE Program / CVE List V5
Vulnerability Description
The Time-aware GPIO syscall verification handler z_vrfy_tgpio_pin_read_ts_ec() in drivers/timeaware_gpio/timeaware_gpio_handlers.c validated only the port device object and passed the caller-supplied timestamp and event_count output pointers to the driver without a K_SYSCALL_MEMORY_WRITE() check. The other handlers in the same file (z_vrfy_tgpio_port_get_time(), z_vrfy_tgpio_port_get_cycles_per_second()) already performed that check, so the omission left one syscall unguarded.
tgpio_pin_read_ts_ec() is declared __syscall, so with CONFIG_USERSPACE=y an unprivileged user-mode thread that has been granted access to the TGPIO device object can invoke it with arbitrary pointer values. tgpio_intel_read_ts_ec() in drivers/timeaware_gpio/timeaware_gpio_intel.c bounds-checks only the pin index and then unconditionally performs timestamp = ... and event_count = ..., executing two 8-byte stores in supervisor mode at addresses chosen by the user-mode caller.
The result is a write-what-where primitive that crosses the userspace/kernel boundary: the target address is fully attacker-chosen and the stored values are the hardware time-capture and event-counter register contents. Corrupting kernel data structures this way can escalate the calling thread to supervisor privilege or crash the system; the device-object permission required is a narrow capability that is not intended to confer any kernel-memory access. The fix adds the two missing K_SYSCALL_MEMORY_WRITE() validations before the driver call.
Exposure is narrow in practice. Only builds with CONFIG_USERSPACE=y and CONFIG_TIMEAWARE_GPIO=y compile the affected file, and from v3.6.0 onward the file additionally referenced a relocated header (<zephyr/syscall_handler.h>) and removed Z_SYSCALL_* macros, so such a configuration failed to build until those were repaired after v4.4.0. Downstream trees that locally corrected that breakage, and v3.5.0 builds where it did not exist, are the exposed population.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
跨界内存写
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| zephyrproject | zephyr | 3.5.0 ~ 4.3.2 | - |
|
二、漏洞 CVE-2026-17052 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-17052 的情报信息
请登录查看更多情报信息。
CVE-2026-17052 补丁与修复 (1)
CVE-2026-17052 其他参考 (1)
同批安全公告 · zephyrproject · 2026-09-21 · 共 5 条
| CVE-2026-17051 | 6.0 MEDIUM | Intel SEDI IPM驱动越界写入漏洞 |
| CVE-2026-17050 | 5.7 MEDIUM | USB主机设备枚举失败双释放漏洞 |
| CVE-2026-15890 | 5.3 MEDIUM | Zephyr secure_storage ITS 非线程同步致 AEAD 重用 |
| CVE-2026-17054 | 5.3 MEDIUM | ESP SPI驱动帧重组越界读取致WiFi失效 |