CVE-2026-10655

Zephyr-də asinxron SNTP klienti (subsys/net/lib/sntp/sntp.c, sntp_close_async) UDP soketinin fayl deskriptorunu şəbəkə soket xidmətindən ayırdıqdan dərhal sonra, soket xidmətinin poll axını ilə sinxronlaşdırmadan birbaşa çağıran axından bağlayırdı. Soket xidməti axını hər soketi zvfs_poll vasitəsilə yoxlayır, hansı ki (zsock_poll_prepare_ctx daxilində) soketin net_context strukturuna (&ctx->recv_q) işarə edən k_poll_event qeydiyyatdan keçirir və sonra istinad və ya kilid saxlamadan k_poll-da bloklanır. net_context obyektləri sabit hovuzdan (contexts[CONFIG_NET_MAX_CONTEXTS]) ayrılır və bağlandıqdan sonra yenidən istifadə olunur. sntp_close_async poll axınından fərqli bir axından çağırıldıqda (ağacdaxili istehlakçı subsys/net/lib/config/init_clock_sntp.c-də SNTP taymaut işləyicisi sistem iş növbəsində işləyir, soket xidməti axını isə həmin fd üzərində poll-da bloklanmış vəziyyətdədir), bağlama net_context-i azad edir və poll axınının hələ də azad edilmiş obyektə bağlanmış poller qovşağı olduğu halda onu yenidən istifadə edə bilər, nəticədə kernel poll strukturlarının istifadədən sonra azad edilməsi / obyekt qarışıqlığı yaranır. SNTP taymaut yolu normal cavabsızlıq uğursuzluq rejimidir, buna görə də SNTP/NTP cavabını atan və ya gecikdirən şəbəkə qarşı tərəfi və ya yoldan kənar hücumçu bu yarış şəraitində bağlanmanı təkrar-təkrar (və NET_CONFIG_SNTP_INIT_RESYNC ilə dövri olaraq) tetikləyə bilər. Ən ehtimal olunan nəticə şəbəkə axınının çökməsidir (xidmətdən imtina), azad edilmiş kontekst slotu yenidən ayrıldıqda isə yaddaş korlanması potensialı mövcuddur. Düzəliş bağlanmanı net_socket_service_close (NET_SOCKET_SERVICE_CLOSE_SOCKETS) vasitəsilə soket xidməti axınının özünə təxirə salır ki, poll edən eyni axın bağlanmanı həyata keçirsin və bununla da yarış aradan qaldırılsın. Təsirlənən buraxılışlar: v4.2.0-dan v4.4.0-a qədər.