„`html
Zusammenfassung
CVE-2026-5067 ist eine kritische Speicherkorrumpierungsschwachstelle im HTTP-Server des Zephyr RTOS. Ein unauthentifizierter Angreifer kann durch ein speziell präpariertes Sec-WebSocket-Key Header eine Out-of-Bounds-Read und -Write auf dem Stack auslösen. Dies führt zu Denial of Service oder potenziell zu Fernausführung von Code.
Betroffene Systeme
Alle Systeme, die Zephyr RTOS mit aktiviertem CONFIG_HTTP_SERVER_WEBSOCKET einsetzen. Zu den Anwendungsbereichen gehören IoT-Geräte, eingebettete Systeme und Netzwerkgeräte, die WebSocket-Unterstützung benötigen. Eine genaue Versionsfeststellung wird empfohlen.
Technische Details
Der Schwachpunkt liegt im HTTP/1-Header-Parser des WebSocket-Upgrade-Pfads. Der Parser kopiert den Sec-WebSocket-Key Header in einen Buffer mit fester Größe mittels bounded copy. Diese Implementierung garantiert jedoch keine NUL-Terminierung, wenn die Eingängelänge die Puffergröße erreicht.
Während des Upgrade-Handlings wird dieser Buffer in einen lokalen Stack-Buffer kopiert und anschließend an strlen() übergeben. Existiert keine NUL-Terminierung innerhalb der Buffer-Grenzen, liest strlen() über die Stack-Buffer-Grenzen hinaus. Eine nachfolgende Konkatenation mit der WebSocket-Magic-String kann zu Out-of-Bounds-Writes führen.
Diese Speicherkorrumpierung ermöglicht das Überschreiben kritischer Stack-Metadaten und kann zur unkontrollierten Codeausführung führen. Der Angriff ist netzwerkgestützt, erfordert keine Authentifizierung und kann remote ausgelöst werden.
Empfohlene Massnahmen
- Sofortig: WebSocket-Funktionalität deaktivieren (CONFIG_HTTP_SERVER_WEBSOCKET = n), falls nicht zwingend erforderlich
- Priorität 1: Aufrollen von stabilen Zephyr-Versionen mit Sicherheitspatches abwarten und zeitnah aktualisieren
- Netzwerk: Zugriff auf betroffene HTTP-Server durch Firewalls beschränken
- Monitoring: Implementierung von Intrusion-Detection-Systemen zur Erkennung verdächtiger WebSocket-Upgrade-Anfragen
Bewertung
CVSS 9.8 (Critical) – Diese Bewertung reflektiert die Netzwerkerreichbarkeit ohne Authentifizierung und die hohe Auswirkung (Code Execution). Eine Patch-Verfügbarkeit ist derzeit nicht dokumentiert, was ein sofortiges Handeln erforderlich macht.
„`