CVE-2026-102715

LAN-dakı hər hansı host iki mDNS yazısı göndərə və cavab verəni ötürmə paketinin sonundan kənara yazıya məcbur edə bilər. Sətir cədvəli hər bir adı dördün mislinə yuvarlaqlaşdırılmış slotda saxlayır: ```c /* addons/mdns/nxd_mdns.c:11436, 11443, 11447 */ memory_len = ((memory_len & 0xFFFFFFFC) + 8) & 0xFFFFFFFF; ... len = *((USHORT*)(p - 2)); /* slot ölçüsü, sətir uzunluğu deyil */ if ((len == memory_len) && ... _nx_mdns_name_match(start, memory_ptr, memory_size) ...) ``` Gələn adın artıq saxlanılıb-saxlanılmadığını müəyyən edən axtarış yuvarlaqlaşdırılmış slot ölçüsünü müqayisə edir, buna görə də 12, 13, 14 və 15 simvollu adlar bir səbəti paylaşırlar. Səbətdəki ikinci ada birinciyə yönləndirilmiş göstərici ilə cavab verilir və yazı sonra çağıranın nəzərə aldığı uzunluqdan üç bayta qədər daha uzun olan sətiri daşıyır. `_nx_mdns_packet_rr_add` (nxd_mdns.c:8911) yeganə sərhəd yoxlamasını həmin köhnəlmiş uzunluğa əsasən ölçür və `_nx_mdns_name_string_encode` real sətiri yazır. Hər ikisi `_http._tcp` sorğusuna adi mDNS cavabları olan və sahib adlarının uzunluğu eyni səbətə düşən iki PTR yazısı kifayətdir: ``` ==87491==ERROR: AddressSanitizer: heap-buffer-overflow WRITE of size 1 at 0x611000000124 thread T5 #0 _nx_mdns_name_string_encode addons/mdns/nxd_mdns.c:13096 #1 _nx_mdns_packet_rr_add addons/mdns/nxd_mdns.c:8911 0x611000000124 is 0 bytes to the right of 228-byte region ``` Daşma, `nx_packet_data_end`-dən kənarda hücumçunun təsir etdiyi ad məlumatlarından ibarət bir və ya üç baytdır. Normal hovuzda bu, "redzone"-a yox, eyni hovuzdakı növbəti paketə düşür, buna görə də görünən təsir təmiz çökmə yerinə qonşu paketin və ya hovuzun boş siyahısının korlanmasıdır. Uyğunluğu elan etməzdən əvvəl slot ölçüsünü saxlanılan sətir uzunluğu ilə müqayisə edin və ya sətir uzunluğunu slot başlığında saxlayın və onu çağırana qaytarın ki, kodlaşdırıcı və sərhəd yoxlaması üst-üstə düşsün.