CVE-2026-102758

`_nx_secure_x509_asn1_tlv_block_parse()` fonksiyonu, DER ile kodlanmış verilerden ASN.1 TLV (etiket-uzunluk-değer) bloklarını ayrıştırır. Bu fonksiyon, NetX Secure içindeki tüm X.509 sertifika ayrıştırmalarının temelini oluşturur ve bu nedenle TLS el sıkışması sırasında uzak bir eş tarafından sağlanan sertifikalar üzerinde çalışır. Fonksiyon, tampon belleğin en az bir bayt içerdiğini kontrol etmeden *önce* çağıranın tamponundan tek baytlık ASN.1 etiketini okur. Çağıran taraf kalan uzunluğu sıfır olarak ilettiğinde, koruma mekanizması doğru şekilde `NX_SECURE_X509_ASN1_LENGTH_TOO_LONG` değerini döndürür ancak okuma işlemi çoktan tamponun sonunun bir bayt ötesinde gerçekleşmiş olur. kod: nx_secure/src/nx_secure_x509_asn1_tlv_block_parse.c ``` UINT _nx_secure_x509_asn1_tlv_block_parse(const UCHAR *buffer, ULONG *buffer_length, USHORT *tlv_type, USHORT *tlv_tag_class, ULONG *tlv_length, const UCHAR **tlv_data, ULONG *header_length) { UINT current_index; USHORT current_tag; ULONG length; ULONG length_bytes; current_index = 0; current_tag = buffer[current_index]; /* <-- sınır kontrolünden önce okuma yapılıyor */ if (*buffer_length < 1) { return(NX_SECURE_X509_ASN1_LENGTH_TOO_LONG); } ``` Fonksiyonun geri kalanı doğru sıralanmıştır. Çok baytlı uzunluk yolu, okuma döngüsünden önce `length_bytes > 4 || length_bytes > *buffer_length` ile korunmaktadır, çözülen değer `length > *buffer_length` ifadesine göre kontrol edilmektedir ve ikinci tek baytlık uzunluk okuması kendi `*buffer_length < 1` korumasını takip etmektedir. Etiket okuması, kontrolünün önüne yerleştirilen tek yüklemedir.