CVE-2026-75085
El controlador IEEE 802.15.4 de STM32WBA en drivers/ieee802154/ieee802154_stm32wba.c calculaba la longitud del paquete de una trama recibida como pkt_len = rx_frame->length - IEEE802154_FCS_LENGTH sin comprobar antes que la longitud indicada por la radio pudiera albergar un FCS. pkt_len es un uint8_t, por lo que una longitud indicada de 0 o 1 daba la vuelta y se convertía en 254 o 255. La única restricción sobre el valor resultante era __ASSERT_NO_MSG(pkt_len <= CONFIG_NET_BUF_DATA_SIZE), que no genera ningún código en la configuración de producción por defecto (CONFIG_ASSERT=n).
La longitud procede de los metadatos de recepción finalizada de la capa de enlace de ST (p_metadata->length, almacenados por stm32wba_802154_receive_done()) y, en última instancia, de la cabecera PHY de una trama recibida por el aire, por lo que puede ser influida por cualquier atacante dentro del alcance radio del dispositivo.
Leer descripción completaMostrar menos
Para provocar el desbordamiento por defecto (underflow) es necesario que la capa de enlace del fabricante entregue una trama más corta que el FCS sin ningún error; el controlador no realizaba ninguna validación propia sobre ese valor.
Cuando se produce el desbordamiento por defecto, stm32wba_802154_rx_thread() llama a net_pkt_write(pkt, rx_frame->psdu, pkt_len) con una longitud de unos 254 bytes frente a un búfer de recepción que contiene como máximo un paquete PHY (IEEE802154_MAX_PHY_PACKET_SIZE, 127 bytes). Esto lee unos 128 bytes más allá del final del búfer de recepción de radio y copia esa memoria adyacente en un paquete de red que se envía a la pila de red, lo que provoca una lectura fuera de límites con una posible revelación de la RAM adyacente, además de una asignación innecesaria de un paquete de tamaño excesivo en el hilo de recepción.
La corrección rechaza una trama cuya longitud indicada es menor que IEEE802154_FCS_LENGTH antes de la resta, y sustituye la aserción no compilada por una comprobación de longitud en tiempo de ejecución que descarta las tramas demasiado grandes, de forma coherente con la comprobación en tiempo de ejecución ya presente en drivers/ieee802154/ieee802154_nrf5.c.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 4.2
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.21 %
- Percentil entre todas las CVEs puntuadas
- 10
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1210Exploitation of Remote Serviceslateral movement85 % - Impacto principal
T1005Data from Local Systemcollection55 %
Vector AV:A/PR:N/UI:N (red adyacente) implica T1210; la lectura fuera de límites copia ~128 bytes de RAM adyacente a un paquete de red, lo que sugiere divulgación de datos.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-125
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-75085",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-75085",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-16T15:23:46.554080Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "vulnerabilities@zephyrproject.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 4.2,
"attackVector": "ADJACENT_NETWORK",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "HIGH",
"availabilityImpact": "LOW",
"privilegesRequired": "NONE",
"confidentialityImpact": "LOW"
},
"impactScore": 2.5,
"exploitabilityScore": 1.6
}
]
},
"affected": [
{
"source": "vulnerabilities@zephyrproject.org",
"affectedData": [
{
"vendor": "zephyrproject",
"product": "zephyr",
"versions": [
{
"status": "affected",
"version": "4.3.0",
"versionType": "semver",
"lessThanOrEqual": "4.4.2"
}
],
"packageName": "zephyr",
"programFiles": [
"drivers/ieee802154/ieee802154_stm32wba.c"
],
"collectionURL": "https://github.com/zephyrproject-rtos/zephyr",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "stm32wba_802154_rx_thread"
}
]
}
]
}
],
"published": "2026-10-14T17:19:10.607",
"references": [
{
"url": "https://github.com/zephyrproject-rtos/zephyr/commit/46f8af4f5ee472abc13b0291c44fdfe4ed879aaa",
"source": "vulnerabilities@zephyrproject.org"
},
{
"url": "https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-w7pm-4r95-c9vr",
"source": "vulnerabilities@zephyrproject.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "vulnerabilities@zephyrproject.org",
"description": [
{
"lang": "en",
"value": "CWE-125"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "The STM32WBA IEEE 802.15.4 driver in drivers/ieee802154/ieee802154_stm32wba.c computed the packet length of a received frame as pkt_len = rx_frame->length - IEEE802154_FCS_LENGTH without first checking that the radio-reported length could hold an FCS. pkt_len is a uint8_t, so a reported length of 0 or 1 wrapped to 254 or 255. The only bound on the resulting value was __ASSERT_NO_MSG(pkt_len <= CONFIG_NET_BUF_DATA_SIZE), which compiles to nothing in the default production configuration (CONFIG_ASSERT=n).\n\nThe length originates in the ST link-layer receive-done metadata (p_metadata->length, stored by stm32wba_802154_receive_done()), and ultimately in the PHY header of a frame received over the air, so it is influenced by any attacker within radio range of the device. Reaching the underflow requires the vendor link layer to surface a frame shorter than the FCS with no error; the driver performed no validation of its own on that value.\n\nWhen the underflow occurs, stm32wba_802154_rx_thread() calls net_pkt_write(pkt, rx_frame->psdu, pkt_len) with a length of about 254 bytes against a receive buffer that holds at most one PHY packet (IEEE802154_MAX_PHY_PACKET_SIZE, 127 bytes). This reads roughly 128 bytes past the end of the radio receive buffer and copies that adjacent memory into a network packet that is submitted to the networking stack, giving an out-of-bounds read with a potential disclosure of adjacent RAM plus needless oversized packet allocation in the RX thread.\n\nThe fix rejects a frame whose reported length is smaller than IEEE802154_FCS_LENGTH before the subtraction, and replaces the compiled-out assertion with a runtime length check that drops oversized frames — matching the runtime check already present in drivers/ieee802154/ieee802154_nrf5.c."
}
],
"lastModified": "2026-10-16T16:21:02.357",
"sourceIdentifier": "vulnerabilities@zephyrproject.org"
}