Zephyr OSDP Control Panel: Stack-Out-of-Bounds-Schreibzugriff im Antwort-Parser

Zusammenfassung

Der Antwort-Parser des OSDP Control Panels in Zephyr begrenzt die Payload-Länge von REPLY_KEYPPAD- und REPLY_RAW-Frames nicht, bevor die Daten in feste 64-Byte-Stack-Puffer kopiert werden. Ein Angreifer, der ein Peripheriegerät kontrolliert oder Frames auf den RS-485-Bus einspeisen kann, kann angrenzenden Stack-Speicher überschreiben. Dies kann zum Absturz der Zutrittskontroll-Zentrale führen oder theoretisch den Kontrollfluss übernehmen. Die Ausnutzung setzt den Control-Panel-Modus mit registriertem Event-Callback und Zugriff auf den Bus in unmittelbarer Nähe voraus; eine Authentifizierung ist nicht nötig.

Betroffen

• Zephyr ab 3.3.0 bis einschliesslich 4.4.2
• Nur Builds mit CONFIG_OSDP_MODE_CP=y und registriertem Event-Callback
• Firmware von Zutrittskontroll-Hardware, die Zephyr verwendet: Unbekannt.

Behoben in

• Fix im Commit f10d55f (Hauptzweig) zusammengeführt, geplant für Zephyr 4.5.0
• Die Zephyr-4.3.2-Versionshinweise führen die CVE als behoben auf
• Fix für 4.4.x-Wartungsversionen: Unbekannt.

Umgehung

• OSDP-Control-Panel-Modus deaktivieren, falls er nicht benötigt wird
• RS-485-Bus physisch auf vertrauenswürdige Peripheriegeräte beschränken
• Prüfen, ob ein Gateway den RS-485-Bus in ein Netzwerk überführt.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Nicht in der KEV-Liste; kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn gefunden
• Die Advisory beschreibt, wie das Problem mit einem bösartigen Peripherie-Emulator reproduziert werden kann.

Unsere Empfehlung

• OSDP-Zutrittskontroll-Hardware inventarisieren und bei den Herstellern klären, ob Zephyr und welche Version verwendet wird
• Beim Hersteller den Patch-Zeitplan für Zephyr-basierte Firmware anfragen
• Bis zur Behebung den physischen Zugriff auf den RS-485-Bus einschränken und nicht benötigte Control-Panel-Funktionen deaktivieren
• Die Advisory vor der Wahl eines Upgrade-Ziels auf einen Fix in 4.4.x prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-fgg7-h8p9-9q3w github.com
• Fix commit f10d55f github.com
• Zephyr 4.3.2 release github.com
• Zephyr vulnerability documentation docs.zephyrproject.org
• OpenCVE CVE-2026-76788 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:45.