PT-2020-11867 · Zephyr · Zephyr

Ioannis Glaropoulos + 1 · Publicado 2020-05-11 · Atualizado 2020-06-05 · CVE-2020-10024

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Zephyr 1.14.0 a 2.1.0 e versões posteriores.

Descrição

O problema está relacionado ao código específico da plataforma ARM no Zephyr, que utiliza uma comparação de inteiros assinados ao validar números de chamadas de sistema. Isso permite que um invasor com capacidade de execução de código em uma thread de usuário eleve seus privilégios ao nível do kernel.

Recomendações

Para as versões do zephyr 1.14.0 a 2.1.0 e versões posteriores, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Enumeração de Fraquezas

CWE-697

Identificadores relacionados

CVE-2020-10024

Produtos afetados

Zephyr

Referências · 7

• https://github.com/zephyrproject-rtos/zephyr/pull/23323 · Correção
• https://github.com/zephyrproject-rtos/zephyr/pull/23535 · Correção
• https://github.com/zephyrproject-rtos/zephyr/pull/23498 · Correção
• https://zephyrprojectsec.atlassian.net/browse/ZEPSEC-30 · Nota
• https://osv.dev/vulnerability/CVE-2020-10024 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-10024 · Nota de Segurança
• https://docs.zephyrproject.org/latest/security/vulnerabilities.html#cve-2020-10024 · Nota