CVE-2026-10667

Nome do Software Vulnerável e Versões Afetadas Zephyr versões 1.14.0 through 4.4.0

Description O rastreamento dinâmico de objetos do kernel no arquivo kernel/userspace/userspace.c mantém uma lista duplamente encadeada obj list de objetos de kernel alocados dinamicamente. Existe uma condição de corrida em sistemas SMP porque a iteração sobre esta lista na função k object wordlist foreach() ocorre sob o lists lock, enquanto a remoção e a liberação de nós são gerenciadas por spinlocks diferentes e disjuntos: objfree lock em k object free() e obj lock em unref check(). Isso permite que uma CPU desvincule e libere um nó dyn obj que outra CPU cacheou como seu próximo ponteiro, levando a um cenário de use-after-free onde o iterador desreferencia memória do kernel já liberada. Essas operações são acessíveis a threads de modo de usuário não privilegiadas via chamadas de sistema, incluindo k object alloc, k object alloc size e k object release. Isso pode resultar em corrupção de memória do kernel, levando potencialmente à escalada de privilégios, ou a um travamento do kernel causando negação de serviço. O problema afeta especificamente configurações que utilizam CONFIG SMP, CONFIG USERSPACE e CONFIG DYNAMIC OBJECTS.

Recommendations Atualize o Zephyr para uma versão posterior à 4.4.0. Como mitigação temporária, evite usar configurações que combinem CONFIG SMP, CONFIG USERSPACE e CONFIG DYNAMIC OBJECTS.