原文

kernel/poll.cのCONFIG_USERSPACE syscall verifierであるz_vrfy_k_poll()は、z_thread_malloc()を介してユーザーが提供したk_poll_event[]のカーネル側コピーを割り当て、その後各イベントのオブジェクトハンドルを検証します。この修正前は、検証がループ内でインラインのK_OOPS(K_SYSCALL_OBJ(...))を使用しており、呼び出しスレッドを終了させる際にevents_copyを解放しませんでした。ユーザースレッドは、num_events ＞= 1で偽造されたオブジェクトハンドルを渡すことで割り当てをリークさせることができます。新しく生成されたユーザースレッドは親のresource_poolを継承するため（kernel/thread.c）、攻撃者は犠牲スレッドを生成してこのリークを繰り返し、共有カーネルヒープが枯渇するまで続けます。ヒープが枯渇すると、そのプールからの正当なカーネル割り当て（k_queueのノード割り当て、k_msgqのバッファ、将来的なk_poll呼び出しなど）が失敗し、システムレベルのサービス拒否（DoS）が引き起こされます。この修正では、各インラインのK_OOPSを条件付きのgoto oops_freeに置き換え、スレッドが終了する前にバッファを解放するようにしました。影響を受けるのは、k_pollがユーザーモードに初めて公開されたv1.12.0からv4.4.1までのZephyrのリリースです。