CVE-2026-11985

{
  "id": "CVE-2026-11985",
  "sourceIdentifier": "[email protected]",
  "published": "2026-08-11T05:17:11.780",
  "lastModified": "2026-10-23T19:10:00.167",
  "vulnStatus": "Awaiting Analysis",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "On the Zephyr ARM port, enabling the hardware FPU (CONFIG_FPU) forces the \"Floating point ABI\" choice, which defaults to CONFIG_FP_HARDABI. Both FP_HARDABI and FP_SOFTABI permit the compiler to emit hardware FP instructions in any function, even code that never uses floating-point types. However, the callee-saved FP registers (s16-s31 / d8-d15) are only saved and restored across a context switch when CONFIG_FPU_SHARING is enabled (arch/arm/core/cortex_m/swap_helper.S and arch/arm/core/cortex_a_r/swap_helper.S), and prior to this fix selecting an ABI did not enable FPU register sharing, which defaults off.\n\nIn a build that enables the FPU with the default ABI but leaves CONFIG_FPU_SHARING disabled, the kernel preserves no callee-saved FP register state across thread switches. The documented precondition for this \"unshared\" mode — that only a single thread ever executes FP instructions — is silently violated because the compiler may generate FP instructions in every thread.\n\nUnder CONFIG_USERSPACE, where threads are mutually isolated, this becomes an information-disclosure boundary crossing: a victim thread can leave secret-derived values in s16-s31, and a co-resident unprivileged thread can read those registers directly (FP register access is not privilege-gated), recovering data left behind by another thread. Without userspace the same defect causes cross-thread FP state corruption (a correctness fault). The leak is bounded to the 16 callee-saved single-precision registers and is opportunistic, so impact is low.\n\nThe fix makes FP_HARDABI and FP_SOFTABI select CONFIG_FPU_SHARING and tags every thread with K_FP_REGS at creation, so callee-saved FP state is always preserved across context switches whenever the compiler may emit FP instructions."
    },
    {
      "lang": "es",
      "value": "En el puerto ARM de Zephyr, habilitar la FPU de hardware (CONFIG_FPU) fuerza la elección de ’Floating point ABI’, que por defecto es CONFIG_FP_HARDABI. Tanto FP_HARDABI como FP_SOFTABI permiten al compilador emitir instrucciones FP de hardware en cualquier función, incluso código que nunca usa tipos de punto flotante. Sin embargo, los registros FP guardados por la función llamada (s16-s31 / d8-d15) solo se guardan y restauran a través de un cambio de contexto (context switch) cuando CONFIG_FPU_SHARING está habilitado (arch/arm/core/cortex_m/swap_helper.S y arch/arm/core/cortex_a_r/swap_helper.S), y antes de esta corrección, seleccionar una ABI no habilitaba el intercambio de registros FPU, que por defecto está desactivado.\n\nEn una compilación que habilita la FPU con la ABI predeterminada pero deja CONFIG_FPU_SHARING deshabilitado, el kernel no conserva ningún estado de registro FP guardado por la función llamada a través de los cambios de hilo (thread switches). La condición previa documentada para este modo ’no compartido’ - que solo un único hilo ejecuta instrucciones FP - se viola silenciosamente porque el compilador puede generar instrucciones FP en cada hilo.\n\nBajo CONFIG_USERSPACE, donde los hilos están mutuamente aislados, esto se convierte en un cruce de límite de divulgación de información: un hilo víctima puede dejar valores derivados de secretos en s16-s31, y un hilo no privilegiado co-residente puede leer esos registros directamente (el acceso a los registros FP no está restringido por privilegios), recuperando datos dejados por otro hilo. Sin userspace, el mismo defecto causa corrupción del estado FP entre hilos (una falla de corrección). La fuga está limitada a los 16 registros de precisión simple guardados por la función llamada y es oportunista, por lo tanto, el impacto es bajo.\n\nLa corrección hace que FP_HARDABI y FP_SOFTABI seleccionen CONFIG_FPU_SHARING y etiqueta cada hilo con K_FP_REGS en la creación, de modo que el estado FP guardado por la función llamada siempre se conserva a través de los cambios de contexto siempre que el compilador pueda emitir instrucciones FP."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "zephyrproject",
          "product": "zephyr",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com/zephyrproject-rtos/zephyr",
          "packageName": "zephyr",
          "programFiles": [
            "arch/Kconfig",
            "arch/arm/core/Kconfig",
            "arch/arm/core/cortex_a_r/thread.c",
            "arch/arm/core/cortex_m/thread.c"
          ],
          "versions": [
            {
              "version": "1.13.0",
              "lessThan": "4.4.2",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N",
          "baseScore": 3.6,
          "baseSeverity": "LOW",
          "attackVector": "LOCAL",
          "attackComplexity": "HIGH",
          "privilegesRequired": "LOW",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "LOW",
          "integrityImpact": "LOW",
          "availabilityImpact": "NONE"
        },
        "exploitabilityScore": 1.0,
        "impactScore": 2.5
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-08-11T17:55:04.091131Z",
          "id": "CVE-2026-11985",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-200"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/commit/3d405326a7653cba6860280e45c8734f8d3fc423",
      "source": "[email protected]"
    },
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-qxr9-wh3c-hvgv",
      "source": "[email protected]"
    }
  ]
}