CVE-2026-102714

`_nx_icmpv6_validate_options()` fonksiyonu, seçenek alanını `while (length > 2)` ile tarar (`common/src/nx_icmpv6_validate_options.c:79`). Boyutu bir veya iki baytlık kalıntı bırakan bir alan, bu kuyruk incelenmeden döngüden çıkar; kalıntı negatif olmadığı için fonksiyon `NX_SUCCESS` döndürür. Sıfır uzunluk reddi işlemi bu baytları hiçbir zaman görmez. Ardından her tüketici aynı alanı yeniden tarayarak kalıntıda iki baytlık bir seçenek başlığı okur ve sıfır kontrolü ile kalan uzunluk kontrolü yapmadan `nx_icmpv6_option_length << 3` değerini çıkarır. Saldırganın kontrol ettiği baytlar tarafından seçilen üç sonuç ortaya çıkar. **Sıfır uzunluk baytı.** Tarayıcı sıfırı çıkarır ve sıfır kadar ilerler. Dört işleyicinin tamamı sonsuz döngüye girer — `_nx_icmpv6_process_ra` (`nx_icmpv6_process_ra.c:245, :528`), `_nx_icmpv6_process_ns` (`:251, :329`), `_nx_icmpv6_process_na` (`:147, :156`) ve `_nx_icmpv6_process_redirect` (`:247, :350`). Tarama işlemi, en yüksek öncelikli iş parçacığı olan ve döngü içinde işlemciyi bırakmayan IP iş parçacığında çalışır; bu nedenle sistem bir watchdog sıfırlamasına kadar durur ve her sıfırlamadan sonra çerçeve yeniden oynatılabilir. **Kısa bir kalıntıda sıfır olmayan uzunluk baytı.** Üç imzasız sayaç alt taşmaya uğrar — `2 - 8` değeri `0xFFFFFFFA` olur — ve tarama paket tamponunun ötesine geçerek hata oluşana veya sıfır uzunluk baytıyla karşılaşıp donana kadar okumaya devam eder. Router Advertisement sayacı imzalıdır ve bu durumda temiz bir şekilde çıkış yapar. **Bir baytlık kalıntı.** Tarayıcı iki baytlık bir seçenek başlığı okurken bir bayt fazladan okuma yapar. Kontrolden çıkan bir tarama sırasında, bağlantı katmanı adres seçeneği olarak ayrıştırılan rastgele baytlar komşu önbelleğine kopyalanır (`nx_icmpv6_process_ns.c:280, :293`) ve ardından o komşuya giden çerçeveler için hedef MAC adresi olarak kullanılır; bu durum paket dışındaki belleğin bağlantıya yerleştirilmesine neden olur. İnceleme ile onaylanmış ancak yeniden üretilmemiştir.