CVE-2026-10646

Zephyr-in BSD-sockets getaddrinfo() tətbiqi (subsys/net/lib/sockets/getaddrinfo.c), stekdə ayrılmış vəziyyət obyektinə (struct getaddrinfo_state ai_state) olan göstəricini asinxron DNS resolver sorğusunun user_data parametri kimi ötürür. Socket təbəqəsi, taym-auti qəsdən resolver-in hər bir sorğu üçün təyin edilmiş taym-autundan bir qədər uzun olan semaforu gözləyir. Həmin semafor gözləməsi buna baxmayaraq vaxtaşırı olduqda (-EAGAIN) — bu, resolver-in taym-aut işi workqueue rəqabəti səbəbindən gecikdikdə və ya CONFIG_NET_SOCKETS_DNS_TIMEOUT parametrinin CONFIG_NET_SOCKETS_DNS_BACKOFF_INTERVAL parametrindən çox olduğu sənədləşdirilmiş çoxsaylı yenidən cəhd konfiqurasiyasında baş verə bilər — düzəlişdən əvvəlki kod əvvəlki sorğunu ləğv etmədən və semaforu sıfırlamadan sorğunu yenidən başladır (goto again). Əvvəlki sorğu yuvası, öz geri çağırış funksiyası (callback) və user_data olaraq stek göstəricisi ilə resolver-də aktiv qalır və ai_state->dns_id üzərinə yazıldığı üçün köhnəlmiş sorğu artıq ləğv edilə bilmir. Daha sonra UDP vasitəsilə çatdırılan və onun 16 bitlik tranzaksiya ID-si ilə uyğunlaşan (dispatcher_cb()/dns_read()) növbəti DNS cavabı və ya resolver-in gecikmiş sorğu-taym-aut işi, artıq əhatə dairəsindən çıxmış stek freyminə qarşı dns_resolve_cb()-ni çağırır və köhnəlmiş göstərici vasitəsilə məlumatları yazır (state->status, state->idx, state->ai_arr[] və k_sem_give()). Tətikləyici cavab şəbəkə vasitəsilə çatdırıldığı və onun 16 bitlik ID-si daxili və ya xarici hücumçu tərəfindən saxtalaşdırıla/təkrarlandırıla bildiyi üçün, bu, yenidən istifadə edilmiş stek yaddaşını korlaya bilən, nəticədə sistemin çökməsinə/xidmətdən imtinaya və ya yaddaşın korlanmasına səbəb ola bilən, şəbəkə vasitəsilə təsir edilə bilən "use-after-return" boşluğudur. Düzəliş, yenidən cəhd etməzdən əvvəl vaxtaşırı olmuş sorğunu adı və tipi ilə ləğv edir və lokal semaforu sıfırlayaraq köhnəlmiş geri çağırış yolunu aradan qaldırır. Təsirə məruz qalan versiyalar: Zephyr v4.0.0-dan v4.4.0-a qədər.