JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026245 kernel/poll.cのCONFIG_USERSPACE syscall verifierであるz_vrfy_k_poll()は、z_thread_malloc()を介してユーザーが提供したk_poll_event[]のカーネル側コピーを割り当て、その後各イベントのオブジェクトハンドルを検証します。この修正前は、検証がループ内でインラインのK_OOPS(K_SYSCALL_OBJ(...))を使用しており、呼び出しスレッドを終了させる際にevents_copyを解放しませんでした。ユーザースレッドは、num_events ＞= 1で偽造されたオブジェクトハンドルを渡すことで割り当てをリークさせることができます。新しく生成されたユーザースレッドは親のresource_poolを継承するため（kernel/thread.c）、攻撃者は犠牲スレッドを生成してこのリークを繰り返し、共有カーネルヒープが枯渇するまで続けます。ヒープが枯渇すると、そのプールからの正当なカーネル割り当て（k_queueのノード割り当て、k_msgqのバッファ、将来的なk_poll呼び出しなど）が失敗し、システムレベルのサービス拒否（DoS）が引き起こされます。この修正では、各インラインのK_OOPSを条件付きのgoto oops_freeに置き換え、スレッドが終了する前にバッファを解放するようにしました。影響を受けるのは、k_pollがユーザーモードに初めて公開されたv1.12.0からv4.4.1までのZephyrのリリースです。 cpe:/o:zephyrproject:zephyr https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026245.html Common Vulnerabilities and Exposures (CVE) CVE-2026-10677 https://www.cve.org/CVERecord?id=CVE-2026-10677 National Vulnerability Database (NVD) CVE-2026-10677 https://nvd.nist.gov/vuln/detail/CVE-2026-10677 GitHub Kernel heap memory leak in z_vrfy_k_poll() lets an unprivileged user thread exhaust the kernel resource pool Advisory zephyrproject-rtos/zephyr GitHub https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-r3cc-8wcr-xfj9 JVNDB CWE-401 https://cwe.mitre.org/data/definitions/401.html 関連文書 kernel: poll: z_vrfy_k_poll() to free memory zephyrproject-rtos/zephyr@8dc7a37 GitHub https://github.com/zephyrproject-rtos/zephyr/commit/8dc7a37bc75402a0a3329397887f32f5fb4da3ad 2026-07-31T15:02:44+09:00 2026-07-31T15:02:44+09:00