Zephyr RTOS: Veraltete TLB-Einträge erlauben Zugriff auf wiederverwendete Speicherframes auf arm64

Zusammenfassung

In Zephyr RTOS auf arm64 lässt ein Fehler bei der TLB-Invalidierung veraltete Übersetzungen für domänenprivate Speicherseiten nach dem Auslagern bei Demand Paging zurück. Ein Benutzer-Thread, der eine ausgelagerte Seite bereits angesprochen hat, kann den physischen Frame weiter lesen und beschreiben, nachdem der Kernel ihn für andere Daten wiederverwendet hat, etwa Supervisor-Daten, eine andere Partition oder den Stack eines anderen Threads. Der Angreifer muss bereits Code in einem unprivilegierten Benutzer-Thread ausführen, und der Build muss CONFIG_USERSPACE und CONFIG_DEMAND_PAGING mit einem aktiven Backing Store aktivieren.

Betroffen

• Zephyr-Versionen 4.3.0 bis einschliesslich 4.4.2 (Advisory-Bereich >= 4.3.0, <= 4.4.2; Strix nennt < 4.5.0)
• Nur arm64-Builds mit CONFIG_USERSPACE und CONFIG_DEMAND_PAGING sowie aktivem Backing Store
• Standardkonfiguration ist nicht betroffen

Behoben in

• Behoben im Commit d732e9f808f16911d06769b3f756246f3528669f, auf main zusammengeführt
• Geplantes Fix-Release: Zephyr 4.5.0 (noch nicht gegen ein tatsächliches Release bestätigt)
• Backport-Status für die Branches v4.4 und v4.3: Unbekannt

Umgehung

Unbekannt.

• Wenn noch kein Update möglich ist, entfernt das Deaktivieren von CONFIG_DEMAND_PAGING oder CONFIG_USERSPACE den Angriffspfad; die Auswirkungen auf das Produkt sind vorab zu prüfen

Ausnutzung

• Öffentlicher Proof of Concept: keiner bekannt
• In freier Wildbahn: keine Hinweise gefunden; VulDB führt den Eintrag als 0-Day (nur Marktschätzung)
• Eintrag im CISA-KEV-Katalog: nicht gefunden, nicht verifiziert
• CVSS 3.1: 7.8 (AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H)

Unsere Empfehlung

• Bei Geräte- und Firmware-Herstellern erfragen, ob ihre Produkte Zephyr 4.3 oder 4.4 auf arm64 mit Benutzermodus und Demand Paging einsetzen
• Sobald ein gepatchtes Release verfügbar ist, das Firmware-Update des Herstellers einspielen; falls noch keines existiert, das Fix-Release von Zephyr einplanen
• Nach Tests auf betroffenen arm64-Builds CONFIG_DEMAND_PAGING oder CONFIG_USERSPACE deaktivieren, wo möglich
• Das Zephyr-Security-Advisory GHSA-6pqm-hfxf-48qv auf Aktualisierungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6pqm-hfxf-48qv github.com
• Fix commit d732e9f808f16911d06769b3f756246f3528669f github.com
• Zephyr security policy github.com
• Ubuntu CVE tracker entry ubuntu.com
• VulDB entry 426019 vuldb.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:20.