CVE-2026-87041

Nome do Software Vulnerável e Versões Afetadas Zephyr versões anteriores a 4.3.0

Descrição O verificador de fila de submissão rtio vrfy sqe() em subsys/rtio/rtio syscalls.c processa incorretamente as verificações de permissão de buffer. Devido a um erro de lógica ao usar o operador &= com a macro K SYSCALL MEMORY(), o verificador aceita buffers que são inacessíveis para a thread chamadora e rejeita buffers legítimos pertencentes à thread. Este problema afeta imagens compiladas com CONFIG USERSPACE e é acionado através da chamada de sistema rtio sqe copy in get handles() ou do wrapper rtio sqe copy in().

Um invasor com um contexto RTIO e um objeto rtio iodev pode enviar um Elemento de Fila de Submissão (SQE) manipulado apontando para memória arbitrária do kernel. Como os manipuladores downstream nos drivers I2C, I3C e SPI desreferenciam esses ponteiros com privilégios de supervisor, isso pode levar a:

Isso permite uma evasão completa do limite de isolamento do modo de usuário.

Recomendações Atualize para a versão 4.3.0 ou posterior. Como mitigação temporária, restrinja o uso da chamada de sistema rtio sqe copy in get handles() e do wrapper rtio sqe copy in() para threads de modo de usuário não confiáveis.