CVE-2026-10646

Zephyr'ın BSD-sockets getaddrinfo() uygulaması (subsys/net/lib/sockets/getaddrinfo.c), yığın tahsisli bir durum nesnesine (struct getaddrinfo_state ai_state) ait işaretçiyi, asenkron bir DNS çözücü sorgusunun user_data parametresi olarak iletir. Soket katmanı, zaman aşımı süresi kasıtlı olarak çözücünün kendi sorgu başına zaman aşımından biraz daha uzun ayarlanmış bir semafor üzerinde bekler. Bu semafor beklemesi yine de zaman aşımına uğradığında (-EAGAIN) — ki bu durum, çözücünün zaman aşımı işleminin iş kuyruğu çekişmesi nedeniyle geciktiği durumlarda veya CONFIG_NET_SOCKETS_DNS_TIMEOUT değerinin CONFIG_NET_SOCKETS_DNS_BACKOFF_INTERVAL değerini aştığı belgelenmiş çoklu yeniden deneme yapılandırmasında meydana gelebilir — düzeltme öncesindeki kod, önceki sorguyu iptal etmeden ve semaforu sıfırlamadan sorguyu yeniden dener (goto again). Önceki sorgu yuvası; geri çağırma işlemi ve user_data olarak yığın işaretçisiyle birlikte çözücüde aktif kalır ve ai_state->dns_id üzerine yazıldığı için bayat sorgu artık iptal edilemez. Ardından, UDP üzerinden iletilen ve 16 bitlik işlem kimliği ile eşleşen (dispatcher_cb()/dns_read()) sonraki bir DNS yanıtı veya çözücünün kendi gecikmiş sorgu zaman aşımı işlemi, artık kapsam dışı olan yığın çerçevesine karşı dns_resolve_cb() fonksiyonunu çağırarak bayat işaretçi üzerinden yazma işlemi gerçekleştirir (state->status, state->idx, state->ai_arr[] ve k_sem_give()). Tetikleyici yanıt ağ üzerinden iletildiği ve 16 bitlik kimliği yol üstündeki veya yol dışındaki bir saldırgan tarafından taklit edilebildiği/tekrar oynatılabildiği için, bu durum yeniden kullanılan yığın belleğini bozabilen, çökmelere/hizmet reddine veya bellek bozulmasına yol açabilen, ağ tarafından etkilenebilir bir serbest bırakıldıktan sonra kullanım (use-after-return) zafiyetidir. Düzeltme, yeniden denemeden önce zaman aşımına uğrayan sorguyu isim ve türe göre iptal eder ve yerel semaforu sıfırlayarak bayat geri çağırma yolunu ortadan kaldırır. Etkilenen sürümler: Zephyr v4.0.0 ile v4.4.0 arası.