CVE-2026-10645

Zephyr ext2 dosya sistemi sürücüsü (subsys/fs/ext2), bir dizin bloğu üzerinde gezinirken diskteki dizin girişi alanları olan de_rec_len ve de_name_len değerlerine güveniyordu. ext2_fetch_direntry() fonksiyonu yalnızca de_name_len > EXT2_MAX_FILE_NAME kontrolü ile korunuyordu ancak de_name_len bir uint8_t ve EXT2_MAX_FILE_NAME 255 olduğu için bu kontrol her zaman yanlıştı; ardından fonksiyon 255 bayta kadar isim kopyalıyor (memcpy) ve lookup/readdir yolları doğrulanmamış bir de_rec_len ile gezintiyi ilerletiyordu. Her dizin bloğu block_size boyutunda bir slab tamponuna okunur ve block_off, önceki girişlerin rec_len değerleri nedeniyle blok sonuna yaklaştırılabilir; böylece 8 baytlık başlık okuması ve ardından gelen isim memcpy işlemi, blok tamponunun sonundan yaklaşık 263 bayt öteye, bitişik heap/slab belleğe kadar okuma yapabilir. readdir yolunda bu baytlar fs_dirent.name içinde çağırana döndürülerek bitişik çekirdek heap belleği sızdırılır; 0 değerindeki bir de_rec_len ayrıca ilerleme kaydedilmeyen sonsuz bir döngüye (hizmet reddi) neden olur ve unlink yolundaki doğrulanmamış kayıtlar üzerindeki memmove(de, next, next_reclen) ek bir OOB okuma/yazma kaynağıdır. Kusura, bağlanmış bir ext2 birimi üzerindeki herhangi bir yol tabanlı işlem (open, stat, unlink, rename, mkdir) veya dizin listeleme yoluyla ulaşılabilir; dolayısıyla saldırgan tarafından sağlanan depolama aygıtındaki (SD kart, USB kitle depolama veya başka şekilde bağlanmış imaj) özel olarak hazırlanmış veya bozulmuş bir ext2 imajı bunu tetikler. Etkilenenler: v3.5.0 sürümünde tanıtılan Zephyr ext2'den v4.4.0 sürümüne kadar olan versiyonlar. Düzeltme, ayrıştırıcıda rec_len ve name_len değerlerini doğrular ve başlığı kalan bloğa sığmayan veya rec_len değeri blok sınırını aşan girişleri tüm gezinti çağrılarında reddeder.