CVE-2026-102714

`_nx_icmpv6_validate_options()` funksiyası seçimlər sahəsini `while (length > 2)` ilə skan edir (`common/src/nx_icmpv6_validate_options.c:79`). Ölçüsü bir və ya iki bayt qalıq saxlayan sahədə dövr həmin son hissə yoxlanılmadan başa çatır; qalıq mənfi olmadığı üçün funksiya `NX_SUCCESS` qaytarır. Sıfır uzunluqlu rəddetmə mexanizmi bu baytları heç vaxt görmür. Daha sonra hər bir istehlakçı eyni sahəni yenidən keçərək qalıqda iki baytlıq seçim başlığını oxuyur və sıfır yoxlaması və ya qalan uzunluq yoxlaması olmadan `nx_icmpv6_option_length << 3` dəyərini çıxır. Hücum edənin idarə etdiyi baytlara görə üç nəticə ortaya çıxır. **Sıfır uzunluqlu bayt.** Skanedici sıfırı çıxır və sıfır qədər irəliləyir. Dörd idarəedicinin hamısı sonsuz dövrə girir — `_nx_icmpv6_process_ra` (`nx_icmpv6_process_ra.c:245, :528`), `_nx_icmpv6_process_ns` (`:251, :329`), `_nx_icmpv6_process_na` (`:147, :156`) və `_nx_icmpv6_process_redirect` (`:247, :350`). Skan prosesi IP axınında (thread) icra olunur ki, bu da ən yüksək prioritetli axındır və dövr daxilində digərlərinə yol vermir, buna görə də sistem watchdog reset-ə qədər dayanır və hər resetdən sonra freym təkrar göndərilə bilər. **Qısa qalıqda sıfırdan fərqli uzunluqlu bayt.** Üç işarəsiz sayğacda underflow baş verir — `2 - 8` ifadəsi `0xFFFFFFFA` olur — və skan paket buferindən kənara çıxaraq səhv (fault) verənə və ya sıfır uzunluqlu bayta rast gəlib donana qədər davam edir. Router Advertisement sayğacı ishalıdır və bu halda normal şəkildə çıxış edir. **Bir baytlıq qalıq.** Skanedici iki baytlıq seçim başlığını oxuyarkən bir baytı artıq oxuyur. Nəzarətsiz skan zamanı link-layer ünvan seçimi kimi parse edilən təsadüfi baytlar qonşu keşinə (`nx_icmpv6_process_ns.c:280, :293`) kopyalanır və sonradan həmin qonşuya gedən freymlər üçün təyinat MAC ünvanı kimi istifadə edilir, beləliklə paketdən kənar yaddaş məlumatları linkə ötürülür. Bu, baxışla təsdiqlənmişdir, lakin təkrar istehsal edilməmişdir.