Out-of-bounds read in DHCPv4 client message-type name lookup (net_dhcpv4_msg_type_name)

The DHCPv4 client helper net_dhcpv4_msg_type_name() in subsys/net/lib/dhcpv4/dhcpv4.c indexes a static 8-element const char * name table after a faulty bounds check. The guard used msg_type <= sizeof(name) instead of msg_type <= ARRAY_SIZE(name); sizeof returns the byte size of the pointer array (32 on 32-bit, 64 on 64-bit targets) rather than the element count of 8, so message-type values from 9 up to that byte size pass the check and cause name[msg_type - 1] to read past the end of the array. The msg_type value originates from the DHCP MESSAGE TYPE option, which is read as an unchecked raw byte from a received packet (net_pkt_read_u8) and passed unmodified into the lookup. A DHCP server, or any host able to inject a spoofed DHCP reply onto the client's link, can therefore drive the index out of bounds. The out-of-range slot yields a garbage const char * that is then dereferenced by a %s log conversion. The lookup is reached only from a debug log statement (NET_DBG / LOG_DBG), so the out-of-bounds read is triggerable only when the DHCPv4 log module is built at DEBUG level (CONFIG_NET_DHCPV4_LOG_LEVEL_DBG), which is not the default configuration. When that condition holds, the result is an out-of-bounds read and a wild-pointer dereference: most likely a crash of the DHCP client (denial of service) and potentially disclosure of an adjacent pointer's contents through the log output. The fix replaces sizeof with ARRAY_SIZE, restoring the correct 1..8 acceptance window.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 5 Aug 2026, published on 5 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

subsys/net/lib/dhcpv4/dhcpv4.c 内の DHCPv4 クライアントヘルパー関数 net_dhcpv4_msg_type_name() は、誤った境界チェックの後に静的な8要素の const char * 名前テーブルをインデックスしています。ガード条件では msg_type ＜= sizeof(name) を使用していましたが、正しくは msg_type ＜= ARRAY_SIZE(name) であるべきでした。sizeof は要素数8ではなくポインタ配列のバイトサイズ（32ビット環境で32、64ビット環境で64）を返すため、9からそのバイトサイズまでの message-type 値がチェックを通過してしまい、その結果 name[msg_type - 1] が配列の範囲外を読み込んでしまいます。msg_type の値は DHCP MESSAGE TYPE オプションから取得され、受信パケットからチェックなしでそのまま読み取られ（net_pkt_read_u8）、修正されずにルックアップに渡されます。したがって、DHCPサーバーやクライアントのリンク上に偽装した DHCP 応答パケットを注入できるホストは、インデックスの範囲外アクセスを引き起こす可能性があります。範囲外のスロットはガーベジな const char * を返し、それが %s ログ変換で逆参照されます。このルックアップはデバッグログステートメント（NET_DBG / LOG_DBG）からのみ呼び出されるため、範囲外読み取りは DHCPv4 ログモジュールが DEBUG レベル（CONFIG_NET_DHCPV4_LOG_LEVEL_DBG）でビルドされている場合にのみトリガーされます。これはデフォルト設定ではありません。この条件が満たされると、範囲外読み取りとワイルドポインタの逆参照が発生し、DHCPクライアントのクラッシュ（サービス拒否）やログ出力を介した隣接ポインタの内容漏洩が発生する可能性があります。本修正では sizeof を ARRAY_SIZE に置き換え、正しい1から8の受け入れ範囲を復元しています。