CVE-2026-19569

Estado: Pendiente de análisisAlta (8.8)—

dynamic_object_create() en kernel/userspace/userspace.c calculaba la asignación de respaldo para un objeto del kernel asignado dinámicamente como obj_size_get(otype) + size, y para elementos de pila de hilos como STACK_ELEMENT_DATA_SIZE(size) (redondeo más sobrecarga fija), sin comprobar ninguna expresión por desbordamiento sin signo. Un tamaño cercano a SIZE_MAX hace que el total calculado se desborde a un valor muy pequeño, por lo que el fragmento de montón entregado es de unos pocos bytes, mientras que el descriptor del objeto sigue etiquetado con el tipo solicitado completo y registrado en la tabla de objetos del kernel.

Leer descripción completaMostrar menos

El argumento size llega directamente a esa aritmética desde modo usuario. k_object_alloc_size() se declara __syscall en include/zephyr/sys/kobject.h, su verificador z_vrfy_k_object_alloc_size() en kernel/userspace/userspace_handler.c es un simple paso directo, y z_object_alloc() solo comprueba el rango de otype — nada limita size. La rama de elemento de pila es además accesible a través de la llamada al sistema k_thread_stack_alloc() vía kernel/dynamic.c. Porque las comprobaciones posteriores de validación de objetos del kernel solo comprueban el tipo y estado de inicialización del objeto, el identificador de tamaño insuficiente pasa K_SYSCALL_OBJ_INIT()/K_SYSCALL_OBJ_NEVER_INIT(), y la llamada al sistema init coincidente (por ejemplo k_mutex_init(), k_sem_init(), o k_thread_create()) entonces escribe un objeto completo sobre la asignación truncada.

Un hilo en modo usuario sin privilegios puede por lo tanto desencadenar una escritura fuera de los límites en modo supervisor en el montón del grupo de recursos del kernel, de un tamaño y contenido que controla sustancialmente, corrompiendo metadatos de fragmentos de sys_heap y objetos del kernel adyacentes. Bajo CONFIG_GEN_PRIV_STACKS la rama de pila de hilos además almacena un puntero salvaje influenciado por el atacante como base de pila privilegiada de un hilo de usuario. El resultado práctico es escape del sandbox CONFIG_USERSPACE — ejecución de código a nivel de kernel o como mínimo corrupción de memoria del kernel y compromiso del sistema.

La explotación requiere CONFIG_USERSPACE junto con CONFIG_DYNAMIC_OBJECTS (también seleccionado por CONFIG_DYNAMIC_THREAD bajo userspace), y un hilo llamador con un grupo de recursos asignado. La corrección rechaza ambos cálculos desbordados y libera el descriptor parcialmente construido.

Traducción automática del texto original de NVD (en inglés).

CVSS

Versión: 3.1
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Puntuación base: 8.8

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.12%
Percentil entre todas las CVEs puntuadas: 2
Fecha de la puntuación: 14/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1068 Exploitation for Privilege Escalationprivilege escalation60 %
Impacto principalT1059 Command and Scripting Interpreterexecution55 %

Inferido por reglas deterministas a partir del vector CVSS y la CWE. Solo orientativo.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Execution Prevention Threat Intelligence Program Restrict Web-Based Content Privileged Account Management Limit Software Installation Behavior Prevention on Endpoint

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Zephyrproject — Zephyr^AI

CWE

CWE-190

Referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-19569",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-19569",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T17:54:39.210506Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "vulnerabilities@zephyrproject.org",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "LOCAL",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 6,
        "exploitabilityScore": 2
      }
    ]
  },
  "affected": [
    {
      "source": "vulnerabilities@zephyrproject.org",
      "affectedData": [
        {
          "vendor": "zephyrproject",
          "product": "zephyr",
          "versions": [
            {
              "status": "affected",
              "version": "3.5.0",
              "versionType": "semver",
              "lessThanOrEqual": "4.4.2"
            }
          ],
          "packageName": "zephyr",
          "programFiles": [
            "kernel/userspace/userspace.c"
          ],
          "collectionURL": "https://github.com/zephyrproject-rtos/zephyr",
          "defaultStatus": "unaffected",
          "programRoutines": [
            {
              "name": "dynamic_object_create"
            },
            {
              "name": "z_impl_k_object_alloc_size"
            },
            {
              "name": "z_impl_k_thread_stack_alloc"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-09T08:16:54.563",
  "references": [
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/commit/85c1c4c21945d9b8fcef03216f1ccb2b27794e3d",
      "source": "vulnerabilities@zephyrproject.org"
    },
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-fg8c-9fhq-q7hv",
      "source": "vulnerabilities@zephyrproject.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "vulnerabilities@zephyrproject.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-190"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "dynamic_object_create() in kernel/userspace/userspace.c computed the backing allocation for a dynamically allocated kernel object as obj_size_get(otype) + size, and for thread stack elements as STACK_ELEMENT_DATA_SIZE(size) (a round-up plus fixed overhead), without checking either expression for unsigned wrap-around. A size close to SIZE_MAX makes the computed total wrap to a very small value, so the heap chunk handed out is a few bytes while the object descriptor is still tagged with the full requested type and registered in the kernel object table.\n\nThe size argument reaches that arithmetic directly from user mode. k_object_alloc_size() is declared __syscall in include/zephyr/sys/kobject.h, its verifier z_vrfy_k_object_alloc_size() in kernel/userspace/userspace_handler.c is a bare pass-through, and z_object_alloc() only range-checks otype — nothing bounds size. The stack-element branch is additionally reachable through the k_thread_stack_alloc() syscall via kernel/dynamic.c. Because subsequent kernel-object validation checks only the object's type and initialization state, the undersized handle passes K_SYSCALL_OBJ_INIT()/K_SYSCALL_OBJ_NEVER_INIT(), and the matching init syscall (for example k_mutex_init(), k_sem_init(), or k_thread_create()) then writes a complete object over the truncated allocation.\n\nAn unprivileged user-mode thread can therefore trigger a supervisor-mode out-of-bounds write into the kernel resource-pool heap, of a size and content it substantially controls, corrupting sys_heap chunk metadata and adjacent kernel objects. Under CONFIG_GEN_PRIV_STACKS the thread-stack branch additionally stores an attacker-influenced wild pointer as a user thread's privileged stack base. The practical result is escape from the CONFIG_USERSPACE sandbox — kernel-level code execution or at minimum kernel memory corruption and system compromise.\n\nExploitation requires CONFIG_USERSPACE together with CONFIG_DYNAMIC_OBJECTS (also selected by CONFIG_DYNAMIC_THREAD under userspace), and a calling thread with an assigned resource pool. The fix rejects both overflowing computations and frees the partially built descriptor."
    }
  ],
  "lastModified": "2026-10-09T18:17:07.760",
  "sourceIdentifier": "vulnerabilities@zephyrproject.org"
}