Zephyr HTTP-Server: Out-of-Bounds-Schreibzugriff im HTTP/2-Handler für statische Dateien

Zusammenfassung

Der HTTP/2-Handler für statische Dateisysteme des Zephyr HTTP-Servers überschreibt den Zähler der empfangenen Daten einer Verbindung mit der Grösse der angeforderten Datei. Ein nicht authentifizierter HTTP/2-GET-Request für eine beliebige Datei im Webroot kann dadurch den Speicher des Geräts beschädigen, ohne dass TLS oder Zugangsdaten nötig sind. Die Auswirkung reicht mindestens bis zu einem Absturz oder Hänger des Geräts, Codeausführung gilt als plausibel, ist aber nicht bestätigt. Betroffen sind nur Anwendungen, die eine statische Dateisystem-Ressource mit CONFIG_FILE_SYSTEM=y registrieren und bei denen HTTP/2 aktiv ist, was standardmässig der Fall ist.

Betroffen

• Zephyr 4.0.0 bis unter 4.3.2
• Zephyr 4.4.0 bis unter 4.5.0
• Standardkonfiguration ist laut CNA-Eintrag nicht betroffen

Behoben in

• Zephyr 4.3.2
• Zephyr 4.5.0
• Zephyr 4.4.x: Unbekannt, Zephyr-Release-Seite prüfen

Umgehung

Unbekannt. Es gibt keine offizielle Massnahme. Das Deaktivieren von HTTP/2 (CONFIG_HTTP_SERVER_VERSION_2) oder das Nicht-Registrieren statischer Dateisystem-Ressourcen würde die Exposition wahrscheinlich beseitigen, ist aber nicht getestet.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden
• Kein öffentlicher Proof of Concept gefunden
• Status im CISA KEV: Unbekannt

Unsere Empfehlung

• Zephyr-basierte Geräte und ihre Firmware-Versionen inventarisieren und bei den Geräteherstellern nachfragen, ob Zephyr eingesetzt wird
• Auf eine korrigierte Version (4.3.2 oder 4.5.0) aktualisieren oder beim Hersteller eine korrigierte Firmware beziehen
• Bis zur Korrektur Weboberflächen der Geräte auf interne Netze beschränken und nicht direkt aus dem Internet erreichbar machen
• Geräteprotokolle auf ungewöhnliche HTTP/2-Anfragen sowie Abstürze oder Neustarts überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Zephyr security advisory GHSA-8jrg-wx88-g75j github.com
• Zephyr fix commit 4e0a5f3 github.com
• Zephyr 4.3.2 release github.com
• Zephyr fix pull request 117603 github.com
• Zephyr HTTP server documentation docs.zephyrproject.org
• OffSeq threat radar CVE-2026-82391 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:37.