Zephyr SMP Race Condition in thread_idx_alloc Breaking ACL Isolation

脆弱性概要 Zephyrの 関数にはSMP競合状態が存在し、 を並行して呼び出すスレッド間でカーネルオブジェクトの権限スロットを共有する可能性があります。具体的には以下の通りです： Zephyrのユーザー空間ダイナミックオブジェクトサブシステムにおいて、 関数は新しいスレッド権限インデックスを割り当てる際、 ロックを保持していませんでした。 SMPシステム上で、2つのユーザーモードのスレッドが並行して を呼び出すと、同じ空きビットを認識し、非アトミックな読み書き（RMW）操作を実行して、同じ を返す可能性があります。 新規作成された2つの オブジェクトに同じ が割り当てられ、ユーザー空間スレッドがコアオブジェクトの権限ビットマップ上で1つのビット位置を共有することになります。 その後のカーネルオブジェクトへのアクセス権限の付与は、1つのスレッドに与えたものが実際には別スレッドにも与えられたことになり、ACL分離が破綻します。 と の間には、 の更新に対するロックがかけられていないウィンドウが存在し、スレッドインデックスプールのエントリがリークする可能性があります。 影響範囲 影響バージョン：v4.0.0以降のすべてのリリース（ で構成されたもの）。 修正バージョン：4.5.0（修正は ブランチにマージ済みだが、まだリリースされていない）。 修正策 修正方法： でロックを保持し、 の走査中に をインラインすることで、この問題を修正しました。 修正コミット： （カーネルスレッド：ダイナミックスレッド作成用にインデックス番号を割り当てる、2018-08-08。その時点で競合状態が存在していました）。 ブランチ状態： - ブランチ：PR #109616、マージ済み。 - ブランチ：PR #111409、マージ済み。 - ブランチ：PR #111410、マージ済み。 - ブランチ：PR #111408、マージ済み。 根拠 — 修正後、 は を保持しないようになり、 走査にインライン化されました。 — は、マッチする 更新のために を既に保持しています（ で設定されたもの）。 — は のために を呼び出し、返された を に格納します。 — はデータを保持しない を読み取ります。衝突は、2つのスレッドのACLビットを意味します。 — は権限チェックを適用しないため、任意のユーザー空間スレッドが に到達可能です。 — は として宣言されています。 — のデフォルト値は2（16個のインデックス）です。ビットマップが小さいため、同一バイト上の衝突はよく見られます。 — の271〜300行目で、元の関数がロックを保持していないことが確認できます。 — の270〜318行目で、同じコードがv4.4.0でリリースされていたことが確認できます。 パッチ ブランチ： 、 、 、 プルリクエスト：#109616、#111409、#111410、#111408 状態：マージ済み 追加情報 質問やコメントがある場合は、 で問題を起票してください。 または、 宛に電子メールをお送りください。 公開禁止期間（Embargo）：2026-07-25 重要情報 CVE ID：CVE-2026-10881 CVSS v3 基本メトリクス： - アタックベクトル：ローカル - アタック複雑度：高い - 必要な権限：低い - ユーザーインタラクション：なし - スコープ：変更なし - 機密性：高い - 完全性：高い - 可用性：低い 弱点：CVE-982 総括 この脆弱性はZephyrカーネル内のSMP競合状態に関わり、並行スレッド間でカーネルオブジェクトの権限スロットが共有され、ACL分離が破綻する可能性があります。修正は複数のブランチでマージ済みであり、4.5.0バージョンでのリリースが予定されています。

目標達成すべての支援者に感謝 — 100%達成しました！

Zephyr SMP Race Condition in thread_idx_alloc Breaking ACL Isolation

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Zephyr SMP Race Condition in thread_idx_alloc Breaking ACL Isolation

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！