CVE-2026-10664

nRF70 Wi-Fi drayverinin drivers/wifi/nrf_wifi/src/wifi_mgmt.c faylındakı nrf_wifi_event_proc_get_power_save_info() enerji qənaəti hadisə idarəçisi, nrf_wifi_umac_event_power_save_info hadisəsindən TWT (Target Wake Time) axın qeydlərini çağırıcı tərəfindən təmin edilən struct wifi_ps_config strukturunun sabit ölçülü twt_flows[WIFI_MAX_TWT_FLOWS] (8 elementli) massivinə kopyalayarkən, hadisədə göstərilən num_twt_flows dəyərini WIFI_MAX_TWT_FLOWS ilə müqayisə etmir və ya event_len parametrini yoxlamırdı. num_twt_flows 8-dən çox olduqda, idarəçi hədəf massivindən kənara yazma (adətən çağırıcının stekində yerləşir, məsələn, wifi ps shell əmri) həyata keçirir — bu, təxminən 40 baytlıq TWT qeydlərinin sərhəddən kənar yazılmasıdır (out-of-bounds write) — və twt_flow_info[i] dəyərini hadisə buferindən kənarda oxuyur. Hadisə, host tərəfindən başladılmış enerji qənaəti GET sorğusuna cavab olaraq nRF70 ko-prosessor proqram təminatı (firmware) tərəfindən ötürülür, buna görə də daşmanın baş verməsi üçün proqram təminatının yanlış formatlanmış və ya diapazondan kənar hadisə göndərməsi lazımdır; etibar sərhədi birbaşa uzaq AP yazmasından ziyadə, host-etibarlı-koprosessor arasındadır və efir vasitəsilə axın sayına təsir dolayıdır və 3 bitlik TWT flow-id sahəsi ilə məhdudlaşır. Təsirə məruz qalanlar: v4.4.0 versiyasına qədər olan burilişlərdə CONFIG_NRF70_STA_MODE aktiv olan qurmalar. Düzəliş num_twt_flows > WIFI_MAX_TWT_FLOWS olan və ya event_len dəyəri bəyan edilmiş qeydlərdən daha qısa olan hadisələri rədd edir və çağırıcı buferi üçün NULL yoxlaması əlavə edir.