原文

ZephyrのMCTP-over-I2C+GPIOターゲットバインディング（subsys/pmci/mctp/mctp_i2c_gpio_target.c）は、mctp_i2c_gpio_target_write_received()内でI2Cバスマスターからの疑似レジスタ書き込みを順序や受信バッファを検証せずにバイト単位で処理します。影響を受けるバージョンでは、MCTP_I2C_GPIO_RX_MSG_ADDR（データ）ハンドラが受信バッファが割り当てられているかを確認せずにb-＞rx_pktを間接参照および書き込みを行います。コントローラがまず長さレジスタ（バッファを割り当てる役割）を送信せずにデータレジスタを選択してバイトを書き込むと、NULLまたは未割り当てのmctp_pktbufポインタを介して攻撃者が選択したバイトが書き込まれます（すなわちアドレス0より少し上の攻撃者が任意に操作できる小さなオフセットに）、その結果メモリ破損やハードフォルトが発生します。同じハンドラは書き込み後に境界チェックを行うため、255バイトを超えるデータが送信された場合にはdata[255]で1バイトのヒープオーバーフローが発生します。I2Cターゲットコールバックはバスマスターの任意のデバイスから提供される生のバイトで呼び出され、バインディングは認証を行わないため、悪意あるまたは不具合のあるバス上のコントローラが事前のプロトコル状態なしにこれらの処理を引き起こし、ターゲットデバイスでメモリ破損やサービス拒否を招く可能性があります。脆弱なコードはI2C+GPIOターゲットバインディングの追加時に導入され、Zephyr v4.3.0およびv4.4.0で出荷されました。修正では、NULLチェックを伴う最初のデータバイトでの割り当て遅延、欠如した長さをlibmctpが拒否するゼロサイズパケットとして扱うこと、そして格納前に境界チェックを移動しています。