CVE-2026-75083

NXP KW41Z IEEE 802.15.4 drayverinin qəbul yolu olan drivers/ieee802154/ieee802154_kw41z.c faylındakı kw41z_rx() funksiyası, paket yükünün ölçüsünü uint8_t tipində pkt_len = len - KW41Z_FCS_LENGTH kimi hesablayırdı, burada len radiasiya tərəfindən bildirilən freym uzunluğudur. İnterrupt handler kw41z_isr() həmin uzunluğu ZLL IRQSTS registrinin RX_FRAME_LENGTH sahəsindən — havada qəbul edilmiş freymin PHY başlıq uzunluq baytının surətindən — əldə edirdi və yalnız sıfır dəyərini rədd edirdi. Buna görə də, bir olaraq bildirilən uzunluq pkt_len == 255 şəklində underflow-a səbəb olurdu. Paket Ethernet olmayan L2 üzərində NET_AF_UNSPEC ilə ayrıldığı üçün net_pkt_rx_alloc_with_buffer() sorğunu interfeys MTU-su ilə məhdudlaşdırmır; standart sabit ölçülü bufer hovuzu (CONFIG_NET_BUF_FIXED_DATA_SIZE, CONFIG_NET_BUF_DATA_SIZE=128) ilə ayırma prosesi iki fraqment zənciri kimi uğurla tamamlanırdı. Sonrakı registrdən-buferə kopyalama dövrləri yalnız birinci fraqmentə yazır, beləliklə, 128 baytlıq net_buf məlumat blokuna 255 bayt yazılır və bu, bitişik şəbəkə-bufer-hovuzu yaddaşına 127 bayta qədər daşmağa (overrun), həmçinin radionun PKT_BUFFER_RX registrlər massivinin sonundan 128 bayta qədər artıq oxumağa səbəb olurdu. Uzunluq sahəsi 802.15.4 radio diapazonundakı istənilən cihaz tərəfindən ötürülmüş autentifikasiya olunmamış freymdən qaynaqlanır və aparat təminatı tərəfindən PHY-başlıq zamanı — freym filtrləməsi tamamlanmadan öncə — tutulur, handler isə onu interrupt statusunu təmizlədikdən sonra nümunəvi şəkildə götürür; buna görə də hücumçu uzunluq baytı bir olan freymləri göndərərək underflow-u tetikləyə bilər. Bunun nəticəsi interrupt kontekstindən ortaq qəbul bufer hovuzunda yaddaşın korlanmasıdır ki, bu da çox güman ki, sistemin çökməsinə və ya digər paketlərin məlumatlarının korlanmasına səbəb olar; daşan baytlar hücumçunun yaratdığı məlumatlar deyil, radio registrlərinin məzmunları olduğu üçün bütövlüyə təsir məhduddur. Düzəliş KW41Z_FCS_LENGTH-dən aşağı olan bütün uzunluqları rədd edir və əlavə olaraq, kopyalama dövrlərindən öncə birinci fraqmentin net_buf_tailroom() dəyərini yoxlayır ki, bu da ölçü hesablamasının CONFIG_NET_L2_OPENTHREAD variantını da əhatə edir.