JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026244 ZephyrのMCTP-over-I2C+GPIOターゲットバインディング（subsys/pmci/mctp/mctp_i2c_gpio_target.c）は、mctp_i2c_gpio_target_write_received()内でI2Cバスマスターからの疑似レジスタ書き込みを順序や受信バッファを検証せずにバイト単位で処理します。影響を受けるバージョンでは、MCTP_I2C_GPIO_RX_MSG_ADDR（データ）ハンドラが受信バッファが割り当てられているかを確認せずにb-＞rx_pktを間接参照および書き込みを行います。コントローラがまず長さレジスタ（バッファを割り当てる役割）を送信せずにデータレジスタを選択してバイトを書き込むと、NULLまたは未割り当てのmctp_pktbufポインタを介して攻撃者が選択したバイトが書き込まれます（すなわちアドレス0より少し上の攻撃者が任意に操作できる小さなオフセットに）、その結果メモリ破損やハードフォルトが発生します。同じハンドラは書き込み後に境界チェックを行うため、255バイトを超えるデータが送信された場合にはdata[255]で1バイトのヒープオーバーフローが発生します。I2Cターゲットコールバックはバスマスターの任意のデバイスから提供される生のバイトで呼び出され、バインディングは認証を行わないため、悪意あるまたは不具合のあるバス上のコントローラが事前のプロトコル状態なしにこれらの処理を引き起こし、ターゲットデバイスでメモリ破損やサービス拒否を招く可能性があります。脆弱なコードはI2C+GPIOターゲットバインディングの追加時に導入され、Zephyr v4.3.0およびv4.4.0で出荷されました。修正では、NULLチェックを伴う最初のデータバイトでの割り当て遅延、欠如した長さをlibmctpが拒否するゼロサイズパケットとして扱うこと、そして格納前に境界チェックを移動しています。 cpe:/o:zephyrproject:zephyr https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026244.html Common Vulnerabilities and Exposures (CVE) CVE-2026-10678 https://www.cve.org/CVERecord?id=CVE-2026-10678 National Vulnerability Database (NVD) CVE-2026-10678 https://nvd.nist.gov/vuln/detail/CVE-2026-10678 GitHub NULL-pointer / out-of-bounds write in Zephyr MCTP I2C+GPIO target binding driven by an unauthenticated I2C controller Advisory zephyrproject-rtos/zephyr GitHub https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-pmwm-5rcm-39rr JVNDB CWE-476 http://cwe.mitre.org/data/definitions/476.html JVNDB CWE-787 https://cwe.mitre.org/data/definitions/787.html 関連文書 pmci: mctp: Allocation issues on I2C+GPIO zephyrproject-rtos/zephyr@9e23364 GitHub https://github.com/zephyrproject-rtos/zephyr/commit/9e23364261a2188c171d734d6947e02ee2a9510f 2026-07-31T15:02:41+09:00 2026-07-31T15:02:41+09:00