CVE-2026-78119

Nome do Software Vulnerável e Versões Afetadas Nuvoton NPCX eSPI driver (versões afetadas não especificadas)

Descrição O driver não valida o campo de comprimento de 12 bits do cabeçalho da solicitação no FIFO FLASHRXBUF ao analisar solicitações de Target-Attached-Flash (TAF). Na função espi taf parse(), solicitações de gravação e RPMC OP1 podem desencadear uma gravação fora dos limites de até 956 bytes na seção .bss, pois o comprimento não é comparado com o buffer fixo de 64 bytes espi taf pckt.src ou com o tamanho de carga útil de recebimento eSPI negociado (rx-plsize). Além disso, o comprimento não validado passado para flash write() em espi taf npcx flash write() pode permitir a leitura de até 4 KB de SRAM adjacente do controlador para a flash SPI. Um estouro de buffer de pilha separado de quatro bytes ocorre em taf npcx completion handler() em SoCs com tx-plsize de 64. Este problema é acessível via lado do host eSPI por meio de solicitações que violam o tamanho de carga útil negociado, podendo levar a falhas do controlador, travamentos ou corrupção do estado do driver que controla as regiões de proteção da flash.

Recomendações Atualize o driver para ampliar os contadores e rejeitar solicitações em que a contagem de palavras exceda ARRAY SIZE(FLASHRXBUF) - NPCX ESPI FLASH HEADER ADDRESS LEN e NPCX TAF RX PAYLOAD WORDS. Implemente a invalid flag em espi taf work() para garantir que pacotes inválidos resultem em uma conclusão malsucedida. Limite a carga útil de transmissão em relação ao FLASHTXBUF e implemente um caso padrão para tipos de ciclo não suportados. Como mitigação temporária, desative CONFIG ESPI TAF se estiver habilitado no alvo NPCX/NPCK.