CVE-2026-10669

CONFIG_XTENSA_MPU və CONFIG_USERSPACE ilə qurulmuş Xtensa SoC-lərdə, arch/xtensa/core/mpu.c faylındakı arch_buffer_validate() funksiyası — istifadəçi rejimi tərəfindən təmin edilən buferin çağıran istifadəçi axınına (thread) tələb olunan icazələrlə əlçatan olduğunu yoxlayan arxitektura hook-u — geri dönüş dəyərini standart olaraq 0 (girişə icazə verilir) olaraq təyin edirdi və imtina nəticəsini yalnız hər bir MPU bölgəsi üçün yoxlama dövrünün daxilində müəyyən edirdi. Buferin yuvarlaqlaşdırılmış həcmi 32-bitlik ünvan sahəsini aşdıqda (ölçü + düzəlmə ofseti SIZE_MAX-a yaxın olduqda və ya ROUND_UP(size + offset) 0-a çevrildikdə), dövr heç bir iterasiya etmir və funksiya heç bir MPU bölgəsini yoxlamadan 0 = icazə verildi dəyərini qaytarır. Sistem çağırışı (syscall) səviyyəsindəki ilkin yoxlamalar (K_SYSCALL_MEMORY_SIZE_CHECK / Z_DETECT_POINTER_OVERFLOW) yalnız xam addr+size aşmasını tutur və ROUND_UP səbəbiylə baş verən aşmanı əhatə etmir, sətir yolu (arch_user_string_nlen -> arch_buffer_validate) isə sistem çağırışı səviyyəsində heç bir qorumaya malik deyil. Buna görə də, imtiyazsız istifadəçi rejimi axını, k_usermode_from_copy/to_copy və ya k_usermode_string_copy vasitəsilə istifadəçi buferlərini yoxlayan hər hansı bir sistem çağırışına xüsusi hazırlanmış (addr, size) cütlüyünü ötürə bilər və giriş icazəsi olmamalı olan yaddaş üçün yoxlama uğurlu tamamlana bilər; bundan sonra nüvə (kernel), axın adından hücum edənin seçdiyi nüvə və ya digər bölmə yaddaşından oxuma (məlumat sızması) və ya write=1 olduqda ora yazma (korlanma) əməliyyatlarını yerinə yetirir ki, bu da məlumatların sızmasına, yaddaşın korlanmasına, imtiyazların yüksəldilməsinə və xidmətdən imtinaya yol açır. v3.7.0 versiyasından (Xtensa MPU istifadəçi rejimi dəstəyi əlavə edildikdə) v4.4.0 versiyasına qədər olan versiyalar təsirlidir. Düzəliş standart dəyəri -EINVAL (standart olaraq imtina) ilə dəyişdirir, açıq şəkildə size_add_overflow yoxlamasını əlavə edir və uğur dəyərini yalnız bütün diapazon yoxlandıqdan sonra təyin edir.