CVE-2026-10636

Zephyr'in IPv4 IGMP uygulamasında, subsys/net/ip/igmp.c dosyasındaki igmp_send() fonksiyonu, paket net_send_data()'ya iletildikten sonra net_pkt_iface(pkt) aracılığıyla ağ arayüzünü paketten tekrar okumaktaydı. Başarılı gönderim yolunda, paketin son referansı L2 sürücüsü veya ağ yığınının TX işlemi tarafından (varsayılan NET_TC_TX_COUNT=0 anlık iletim yapılandırmasında senkron olarak) zaten serbest bırakılmış olabilir ve bu durum net_pkt slab bloğunun boş listesine dönmesine neden olur. Ardından gelen net_pkt_iface(pkt) çağrısı, serbest bırakılan paketi dereference eder; bu bir serbest bırakıldıktan sonra kullanım (use-after-free) okuma işlemidir; CONFIG_NET_STATISTICS_PER_INTERFACE etkin olduğunda, ortaya çıkan sarkan arayüz işaretçisi bir istatistik sayacı yazımı için tekrar dereference edilir. IGMP gönderim yolu, 224.0.0.1 adresine yönlendirilen gelen IPv4 IGMP üyelik sorgularından (net_ipv4_igmp_input -> send_igmp_report/send_igmp_v3_report -> igmp_send) ve yerel çoklu yayın katılma/ayrılma/yeniden katılma işlemlerinden kimlik doğrulama olmaksızın erişilebilirdir. Gerçekçi etkisi tanımsız davranış ve potansiyel hizmet reddidir (sporadik çökme veya istatistik bozulması); kontrol edilebilir bir yazma işlemi, asenkron TX yolu ve eşzamanlı bir slab yeniden kullanımı gerektirir. Hata, IGMPv2 desteği ile birlikte gelmiş olup v2.6.0 ile v4.4.0 arasındaki sürümleri etkilemektedir. Düzeltme, gönderme işleminden önce arayüz işaretçisini önbelleğe alır. Benzer IPv6 MLD yolunun (subsys/net/ip/ipv6_mld.c içindeki mld_send) aynı düzeltilmemiş deseni koruduğuna dikkat edin.