CVE-2026-12631

Zephyr çekirdeği, include/zephyr/kernel.h içinde __syscall olarak bildirilen k_thread_join() ve k_thread_abort() sistem çağrılarını kernel/thread.c içindeki thread_obj_validate() aracılığıyla doğrular. Varsayılan switch dalı, k_object_validate() -EPERM (çağıran kullanıcı iş parçacığına hedef iş parçacığı nesnesine hiçbir zaman erişim izni verilmemiştir) veya -EBADF (sağlanan işaretçi, doğru türde kayıtlı bir çekirdek nesnesi değildir) döndürdüğünde izlenen erişim reddedildi yoludur. Bu dal K_OOPS(K_SYSCALL_VERIFY_MSG(ret, "access denied")) çağrısını yapıyordu, ancak K_SYSCALL_VERIFY_MSG doğru bir ifadeyi başarı olarak değerlendirir; bu nedenle sıfır olmayan hata kodu ret "doğrulandı OK" olarak okundu, çekirdek oops hiçbir zaman tetiklenmedi ve denetim CODE_UNREACHABLE'a düştü. k_thread_join() ve k_thread_abort() sistem çağrıları olduğundan, ayrıcalıksız bir kullanıcı modu iş parçacığı (CONFIG_USERSPACE altında) sahip olmadığı bir iş parçacığı nesnesi üzerinde bu sistem çağrılarından birini çağırarak bu reddetme yoluna doğrudan ulaşabilir. İhlal eden iş parçacığının temiz bir şekilde sonlandırılması yerine, yürütme sistem çağrısı işleyicisi içinde süpervizör modunda çalışırken __builtin_unreachable()'a ulaşır. Clang derlemelerinde CODE_UNREACHABLE geçersiz talimat tuzağı üretir, bu nedenle bir kullanıcı iş parçacığı çekirdeği deterministik olarak çökertebilir — kullanıcı alanı korumalı alanından kaçan, yerel olarak tetiklenebilir bir hizmet reddi. GCC derlemelerinde bu yol tanımsız davranıştır: derleyici thread_obj_validate() için dönüş değeri işlemesini kaldırabilir, böylece tanımsız bir bool döndürebilir; bunun false olması durumunda çağıran, kullanıcının erişim yetkisi hiçbir zaman verilmediği bir iş parçacığı için gerçek k_thread_join()/k_thread_abort() uygulamasına ilerler, bu da bir erişim denetimi atlatmasıdır. Düzeltme, doğrulama ifadesini ret == 0 olarak değiştirir, böylece reddedilen (sıfır olmayan) bir sonuç artık doğru şekilde K_OOPS tetikler ve ihlal eden çağıranı sonlandırır.