CVE-2026-16514

subsys/net/l2/ethernet/gptp/gptp_mi.c faylındakı gptp_mi_qualify_announce() funksiyası, qəbul edilmiş IEEE 802.1AS Announce mesajının Path Trace TLV hissəsini nəzərdən keçirərək hər bir saat kimliyini lokal kimliklə müqayisə edir. Dövrün sərhədi yalnız hücumçunun idarə etdiyi announce->steps_removed sahəsindən (maksimum 254-ə qədər qəbul edilir) götürülmüşdür və heç vaxt TLV-nin faktiki neçə kimlik daşıdığını göstərən announce->tlv.len sahəsindən istifadə edilməmişdir. path_sequence, şəbəkə TLV-sinin (struct gptp_path_trace_tlv) çevik üzvü olduğu və GPTP_ANNOUNCE() qəbul edilmiş paket buferinə xam göstərici (raw pointer) verdiyi üçün dövr daxilindəki memcmp() funksiyası qəbul edilmiş freymin sonundan çox kənarda olan yaddaşa müraciət edə bilər. Stekin yeganə uzunluq təsdiqi olan GPTP_ANNOUNCE_CHECK_LEN(), qəbul edilmiş gPTP yükünün dəqiq 68 + tlv.len bayt olmasını tələb edir — buna görə də o, dövrü məhdudlaşdırmır, əksinə datanın olmadığını təmin edir. Eyni Ethernet seqmentində olan autentifikasiya olunmamış hücumçu, tlv.len = 0 və steps_removed = 254 təyin edilmiş tək bir Announce freymi göndərə bilər; freym uzunluq yoxlamasından və qəbul yolundan (net_gptp_recv() → gptp_handle_msg() → gptp_mi_qualify_announce()) keçir, burada heç bir autentifikasiya aparılmır və daha sonra dövr şəbəkə buferinin sonundan kənarda hər biri 8 bayt olan 255 girişni — təxminən 2 KB — oxuyur. Təsir səviyyəsi sərhədləri aşan oxuma (out-of-bounds read) ilə nəticələnir. Oxunan baytlar yalnız memcmp() operandı kimi istifadə olunur və heç vaxt hücumçuya qaytarılmır, buna görə də əhəmiyyətli məlumat sızması baş vermir; praktiki risk ondan ibarətdir ki, həddindən artıq oxuma şəbəkə buferi hovuzunun sərhədini keçərək xəritələnməmiş və ya MPU ilə qorunan yaddaşa daxil olur və şəbəkə RX axınını (thread) xətaya salaraq xidmətdən imtinaya (DoS) səbəb olur. Risk yalnız eksperimental CONFIG_NET_GPTP (TSN/AVB tətbiqləri) aktiv edilmiş versiyalarla və layihə-2 yaxınlığına malik hücumçularla məhdudlaşır, çünki gPTP freymləri link-lokal multikast ünvanına göndərilir və marşrutlaşdırılmır. Həll yolu real giriş sayını tlv.len / GPTP_CLOCK_ID_LEN kimi hesablayır və steps_removed + 1 bu sayı aşdıqda announce mesajını rədd edir, beləliklə dövr artıq paket uzunluğu yoxlamasının mövcudluğunu sübut etdiyi datadan kənara çıxa bilmir.