CVE-2026-10652

Zephyr-in DNS resolver-i (subsys/net/lib/dns), dns_unpack_answer() funksiyasında DNS cavablarından resurs yazıları (resource records) analiz edir; lakin bu funksiya yalnız sabit RR başlığını (type, class, TTL, rdlength) yoxlayır və hücum edən tərəfindən təyin edilmiş istənilən rdlength dəyərini, o cümlədən qəbul edilmiş dataqramın sonunu aşan dəyəri qəbul edirdi. Daha sonra dns_validate_record() (resolve.c) funksiyasındakı TXT və SRV istehlakçıları, qəbul buferi vasitəsilə memcpy ilə rdlength bayta qədər məlumat oxuyur (burada məhdudiyyət paketlə deyil, yalnız yazı növünün maksimumu ilə, məsələn, standart olaraq 64 olan DNS_MAX_TEXT_SIZE ilə tənzimlənmişdir) və öz daxili sərhəd yoxlamasını aparmadan nəticəni tətbiqin resolve callback funksiyasına ötürür. Zərərli və ya saxtalaşdırılmış DNS serveri, UDP DNS cavablarını saxtalaşdıran yolüstü (on-path) hücumçu və ya (mDNS/LLMNR aktiv olduqda) hər hansı LAN nodu, qəbul hovuzunun bitişik yaddaş sahəsində sərhədlərdən kənar oxumaya (out-of-bounds read) səbəb olan kəsilmiş TXT və ya SRV cavabı hazırlaya bilər; ifşa olunmuş köhnə baytlar (əvvəlki DNS paketlərinin qalıq məzmunu / başladılmamış hovuz yaddaşı) tətbiqə TXT/SRV yazılarının məzmunu kimi qaytarılır ki, bu da məlumat sızmasına səbəb olur və bəzi konfiqurasiyalarda ayırma sərhədini aşaraq sistem xətasına və xidmətdən imtinaya (DoS) gətirib çıxara bilər. Oxuma əməliyyatı məhduddur (TXT üçün ~64 bayt, SRV üçün ~6 bayt) və yalnız oxuna biləndir (yazma mümkün deyil). Düzəliş, dns_unpack_answer() funksiyasındakı vahid yoxlama nöqtəsində elan edilmiş rdata-sı dns_msg->msg_size dəyərini aşan bütün yazıları rədd edir. Təsirə məruz qalan versiyalar: v4.3.0 və v4.4.0.