Vulnerabilidad en zephyr de zephyrproject (CVE-2026-9728)

El verificador de llamadas al sistema de espacio de usuario z_vrfy_mbox_send() en drivers/mbox/mbox_handlers.c validó los campos anidados msg -&gt; data/msg -&gt; size leyéndolos directamente de la memoria activa del espacio de usuario, y luego reenvió el puntero original, aún mutable, de la estructura mbox_msg * del espacio de usuario a z_impl_mbox_send() y al controlador subyacente. Entre la verificación de acceso y el uso de msg -&gt; data por parte del controlador, el puntero validado podría ser reemplazado, dejando una ventana de tiempo de verificación/tiempo de uso.<br /> <br /> En un sistema construido con CONFIG_USERSPACE, cualquier hilo de espacio de usuario sin privilegios puede invocar la llamada al sistema mbox_send(). Un segundo hilo que comparte el espacio de direcciones del llamante puede competir para sobrescribir msg -&gt; data con una dirección de supervisor (kernel) después de que la verificación de límites del verificador haya pasado pero antes de que el controlador lo desreferencie. El controlador luego lee de la dirección elegida por el atacante en contexto de supervisor (por ejemplo, memcpy(&amp;data32, msg -&gt; data, msg -&gt; size) en el controlador de buzón NXP, cuyos bytes se emiten posteriormente al punto final del buzón par).<br /> <br /> El impacto es una omisión de control de acceso de espacio de usuario a supervisor: divulgación de contenidos de memoria del kernel (alto impacto en la confidencialidad), o, para una dirección de destino inválida/no mapeada, una lectura de kernel con fallo que causa denegación de servicio. La solución captura la estructura mbox_msg completa en una copia de pila del kernel con k_usermode_from_copy() y valida y reenvía esa copia inmutable, cerrando la condición de carrera.