PT-2026-123414
CVE-2026-19742
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Zephyr (إصدارات متأثرة غير محددة)
الوصف
تستخدم مكدسة IPv6 واجهة برمجة تطبيقات غير آمنة تشفيرياً، وهي
sys rand get()، لاشتقاق المفتاح السري طويل الأمد لمعرفات الواجهة المستقرة RFC 7217 (عبر gen stable iid() في subsys/net/ip/ipv6.c) ومعرفات الواجهة المؤقتة RFC 8981 (عبر gen temporary iid() في subsys/net/ip/ipv6 pe.c). نظراً لأن sys rand get() قد تعتمد على مولد xoshiro128++ القابل للعكس أو تعود إلى عينات k cycle get 32() عند فشل برنامج تشغيل الإنتروبيا، يمكن لمراقب حركة مرور الشبكة استعادة حالة المولد وإعادة بناء المفتاح السري. يسمح هذا للمهاجم بحساب معرفات الواجهة المستقرة لأي بادئة وربط المعرفات المؤقتة، مما يمكن من تتبع الجهاز عبر الشبكات واستهداف العناوين بشكل متوقع داخل بادئة /64.التوصيات
تحديث البرنامج إلى إصدار يتم فيه توليد المفتاح السري باستخدام
sys csrand get() وإيقاف توليد IID مع الخطأ -EIO عندما لا تتوفر عشوائية تشفيرية.
كإجراء تخفيف مؤقت، قم بتعطيل الميزات التجريبية CONFIG NET IPV6 IID STABLE و CONFIG NET IPV6 PE. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾