Plateforme
c
Composant
zephyr
Corrigé dans
4.3.1
Une condition de concurrence a été identifiée dans le noyau Zephyr RTOS, affectant les versions de 0.0.0 à 4.3. Cette faille se produit lors de la fermeture d'une connexion TCP, pouvant entraîner un crash du système. No official patch available.
La vulnérabilité CVE-2026-5590 dans Zephyr RTOS présente une condition de concurrence (race condition) pendant la fermeture des connexions TCP. Cela peut entraîner la fonction tcprecv() à opérer sur une connexion qui a déjà été libérée. Plus précisément, si tcpconnsearch() renvoie NULL lors du traitement d'un paquet SYN, un pointeur NULL dérivé de données de contexte obsolètes est transmis à tcpbacklogisfull() et déréférencé sans validation, ce qui entraîne un crash du système. La sévérité CVSS est de 6.4, indiquant un risque modéré. La nature de la condition de concurrence rend l'exploitation plus complexe, nécessitant une synchronisation précise des événements. L'impact principal est un déni de service (DoS) dû à l'arrêt du système. Aucune correction (fix) officielle n'a été fournie, et il n'y a aucune information disponible concernant un KEV (Kernel Event) associé à cette vulnérabilité.
L'exploitation de CVE-2026-5590 nécessite un attaquant capable d'envoyer des paquets SYN malveillants vers un appareil Zephyr. L'attaquant doit être capable de manipuler la synchronisation des événements de sorte que tcpconnsearch() renvoie NULL pendant que tcp_recv() est en cours. Cela pourrait être réalisé par le biais d'une attaque par déni de service distribué (DDoS) ou en manipulant la configuration réseau. La complexité de la condition de concurrence rend l'exploitation plus difficile, mais pas impossible. La probabilité de succès dépend de l'architecture réseau et de la configuration de l'appareil Zephyr. L'absence d'un KEV suggère que la vulnérabilité n'a pas été observée dans la nature, mais le risque potentiel reste significatif.
Systems utilizing Zephyr RTOS Kernel versions 0.0.0 through 4.3, particularly those involved in real-time applications, industrial control systems, or embedded devices, are at risk. Devices with limited resources and those lacking robust error handling mechanisms are especially vulnerable to the impact of a kernel crash.
• linux / server:
journalctl -f | grep -i 'tcp_backlog_is_full'• linux / server:
ps aux | grep tcp_conn_search• linux / server:
ss -t tcp | grep ESTABLISHEDdisclosure
Statut de l'Exploit
EPSS
0.04% (percentile 14%)
CISA SSVC
Vecteur CVSS
Étant donné l'absence de correction officielle, l'atténuation se concentre sur des stratégies de réduction des risques. Il est recommandé de limiter l'exposition des appareils Zephyr aux réseaux non fiables. La mise en œuvre de pare-feu et de systèmes de détection d'intrusion peut aider à identifier et à bloquer les tentatives d'exploitation. Surveiller le système à la recherche de comportements anormaux, tels qu'un nombre élevé de paquets SYN ou des plantages inattendus, est essentiel. Envisager de passer à des versions futures de Zephyr dès qu'une correction est publiée. De plus, la mise en œuvre d'une conception de réseau robuste qui limite l'impact d'une défaillance sur un seul appareil peut être une stratégie efficace. L'application de bonnes pratiques de sécurité en matière de développement logiciel peut également aider à prévenir de futures vulnérabilités.
Aplique la última actualización de seguridad proporcionada por el proyecto Zephyr RTOS. Esta actualización aborda la condición de carrera que puede provocar una denegación de servicio debido a un acceso a memoria nula. Consulte las notas de la versión y las instrucciones de actualización en el repositorio de Zephyr para obtener detalles específicos.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVSS 6.4 indique un risque modéré. Il nécessite une attention et une atténuation, mais n'est pas critique.
Actuellement, aucune correction officielle n'est disponible.
Limiter l'exposition aux réseaux non fiables, mettre en œuvre des pare-feu et surveiller les comportements anormaux sont des mesures recommandées.
KEV (Kernel Event) est une notification d'une vulnérabilité qui a été observée dans la nature. L'absence d'un KEV ne signifie pas que la vulnérabilité n'est pas dangereuse.
Une attaque par déni de service (DoS) ou une attaque de manipulation de la synchronisation des événements pourraient être utilisées pour exploiter cette vulnérabilité.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.