CVE-2026-13216

virtio PCI drayveri (drivers/virtio/virtio_pci.c) drayverin başladılması zamanı cihazın PCI imkanları siyahısını təhlil edir. virtio_pci_read_cap() funksiyasında cihaz tərəfindən təmin edilən imkan uzunluğu baytı cap_len (pcie_conf_read() vasitəsilə PCI konfiqurasiya sahəsindən oxunan) yalnız assert(tmp.cap_len == cap_struct_size) ilə yoxlanılırdı. Bu assert, istehsalat versiyalarında standart olaraq söndürülmüş olan CONFIG_ASSERT tərəfindən idarə olunan __ASSERT_NO_MSG() funksiyasına yönəlir, buna görə də həmin dəyər kopyalama məntiqinə tamamilə yoxlanılmadan çatır. Daha sonra bu uzunluq, əlavə imkan dword-larını çağırıcı tərəfindən təmin edilən sabit ölçülü stek buferinə kopyalayan dövrü idarə edir. 24 baytlıq baza strukturu virtio_pci_cap-dan kiçik olan cap_len dəyəri, işarəsiz extra_data_words sayının SIZE_MAX-a yaxın bir dəyərə düşməsinə (underflow) səbəb olur və faktiki olaraq məhdudiyyətsiz stek yazılmasına yol açır; çağırıcının buferindən böyük olan cap_len (255-ə qədər) isə buferdən kənara təxminən 228 bayta qədər cihaz tərəfindən idarə olunan məlumatların yazılmasına səbəb olur. Hər iki hal, yükləmə zamanı cihazın yoxlanılması (probe) prosesində nüvə rejimində icra edilən və hücumçu tərəfindən idarə olunan məzmunun sərhədlərdən kənara yazılmasıdır (out-of-bounds write). Giriş məlumatları virtio cihazından gəlir. Zephyr-in hipervizor altında qonaq kimi işlədiyi geniş yayılmış tətbiqlərdə cihazın arxa planı (backend) hostdur və o, artıq qonaqdan daha yüksək səlahiyyətlərə malikdir, buna görə də bu xəta imtiyazların yüksəldilməsinə səbəb olmur. Ekspluatasiya edilə bilən hal, Zephyr nüvəsinə nisbətən etibarsız olan virtio cihazıdır — bare-metal sistemdəki etibarsız və ya fiziki/keçirmə (passthrough) virtio PCIe cihazı, yaxud qonağın hostdan müdafiə olunmalı olduğu konfidensial hesablama mühiti; burada zərərli cihaz nüvə stekini korlaya və potensial olaraq kodun icrasına və ya sistemin çökməsinə səbəb ola bilər. Həll yolu, hər hansı riyazi əməliyyat və ya kopyalama prosesindən əvvəl [sizeof(struct virtio_pci_cap), cap_struct_size] diapazonundan kənar olan cap_len dəyərlərini rədd edən çalışma zamanı diapazon yoxlamasını tətbiq edərək, kompilyasiya zamanı çıxarılan assert-i əvəzləyir.