CVE-2026-13481

subsys/net/lib/ptp/tlv.c faylındakı IEEE 1588 PTP idarəetmə mesajlarının parseri PTP_MGMT_TIME idarəetmə identifikatorunu yanlış emal edir. tlv_mgmt_post_recv() funksiyasında, PTP_MGMT_TIME halında mgmt_tlv->data 10 baytlıq struct ptp_timestamp strukturuna çevrilir və oxunur (sonra baytlar dəyişdirilir və geri yazılır), lakin bundan əvvəl TLV məlumat sahəsinin ən azı sizeof(struct ptp_timestamp) ölçüsündə olduğu yoxlanılmır. Eyni switch blokundakı digər bütün idarəetmə identifikatorları əvvəlcə uzunluğu yoxlayır; yalnız PTP_MGMT_TIME halında bu yoxlama çatışmırdı. Ötürülən uzunluq idarəetmə məlumatının ölçüsüdür (tlv->length - 2) və ptp_tlv_post_recv() funksiyasındakı üst qoruyucu yalnız tlv->length > 2 tələbini irəli sürür, msg_tlv_post_recv() isə yalnız TLV-nin qəbul edilmiş bayt sayı daxilində yerləşdiyini yoxlayır, hər bir ID üçün minimum ölçünü yoxlamır. Buna görə də, lokal PTP seqmentindəki qarşı tərəf qısa PTP_MGMT_TIME TLV-si (məlumatı 2 bayta qədər kiçik olan) daşıyan PTP_MSG_MANAGEMENT mesajı göndərə bilər ki, bu da parserin təsdiqlənmiş məlumatlardan 8 bayt kənara çıxaraq oxuma və yazma əməliyyatını yerinə yetirməsinə səbəb olur. Mesaj növü və TLV məzmunu birbaşa şəbəkədən alındığı üçün, CONFIG_PTP aktiv olduqda bu yol istənilən yaxın hücumçu tərəfindən əlçatan olur. Həddindən artıq oxuma və geri yazma əməliyyatı struct ptp_msg ayırması daxilində qalır (mgmt_tlv->data aparıcı mtu[NET_ETH_MTU] union üzvündə yerləşir, buna görə də data + 10 maksimum mtu[] massivindən bir neçə bayt sonraya, eyni obyektin daxilinə düşür), beləliklə, bu, obyekt daxilindəki bitişik yaddaşın hədlərdən kənar oxunması və mesajın parse edilmiş zaman möhürünün məhdud daxili korlanmasıdır, ayırma bölgüsündən kənar yaddaş korlanması deyil. Təsir bitişik baytların kiçik miqdarda sızmasına və cihazın parse edilmiş idarəetmə TIME dəyərinin korlanması ilə məhdudlaşır; giriş zamanı sistem çökməsi baş vermir və əlçatan reference-count korlanması yoxdur. Düzəliş, digər idarəetmə-ID halları ilə uyğunlaşdırmaq və qəbul yolu qüsurunu tam aradan qaldırmaq üçün tip çevirmədən əvvəl if (length < sizeof(struct ptp_timestamp)) { return -EBADMSG; } şərtini əlavə edir.