CVE-2026-9728

drivers/mbox/mbox_handlers.c faylındakı istifadəçi sahəsi syscall yoxlayıcısı z_vrfy_mbox_send(), iç-içə olan msg->data/msg->size sahələrini birbaşa canlı istifadəçi sahəsi yaddaşından oxuyaraq təsdiqləmiş və daha sonra hələ də dəyişdirilə bilən orijinal istifadəçi sahəsi struct mbox_msg * göstəricisini z_impl_mbox_send() funksiyasına və alt drayverə ötürmüşdür. Giriş yoxlaması ilə drayverin msg->data-dan istifadəsi arasında təsdiqlənmiş göstərici əvəz edilə bildiyi üçün "yoxlama zamanı/istifadə zamanı" (time-of-check/time-of-use) pəncərəsi yaranmışdır. CONFIG_USERSPACE ilə qurulmuş sistemdə istənilən imtiyazsız istifadəçi sahəsi axını mbox_send() sistem çağırışını çağıra bilər. Çağıranın ünvan sahəsini paylaşan ikinci bir axın, yoxlayıcının sərhəd yoxlaması keçdikdən sonra, lakin drayver onu dereference etməzdən əvvəl msg->data-nı supervizor (kərnel) ünvanı ilə əvəzləmək üçün yarışa girə bilər. Daha sonra drayver supervizor kontekstində hücum edənin seçdiyi ünvandan məlumatları oxuyur (məsələn, baytları sonradan qarşı tərəf poçt qutusuna göndərən NXP mailbox drayverindəki memcpy(&data32, msg->data, msg->size)). Təsir istifadəçi sahəsindən supervizora giriş nəzarətinin yan keçilməsidir: kərnel yaddaşının məzmununun ifşası (yüksək konfidensiallıq təsiri) və ya yanlış/xəritələnməmiş hədəf ünvanı olduqda, xidmətdən imtinaya səbəb olan xətalı kərnel oxuması. Həll yolu k_usermode_from_copy() vasitəsilə bütün struct mbox_msg strukturunu kərnel stek kopiyasına köçürür, həmin dəyişməz kopiyanı təsdiqləyir və ötürür ki, bu da yarışı aradan qaldırır.