CVE-2026-10655

Zephyr'deki asenkron SNTP istemcisi (subsys/net/lib/sntp/sntp.c, sntp_close_async), UDP soket dosya tanımlayıcısını ağ soket servisinden ayırdıktan hemen sonra, soket servis poll iş parçacığı ile senkronize olmadan doğrudan çağıran iş parçacığından kapatmıştır. Soket servis iş parçacığı, her bir soketi zvfs_poll aracılığıyla sorgular; bu işlem (zsock_poll_prepare_ctx içinde), soketin net_context yapısına (&ctx->recv_q) işaret eden bir k_poll_event kaydeder ve ardından herhangi bir referans veya kilit tutmadan k_poll içinde bloklanır. net_context nesneleri sabit bir havuzdan (contexts[CONFIG_NET_MAX_CONTEXTS]) tahsis edilir ve kapatma işleminden sonra yeniden kullanılır. sntp_close_async, poll iş parçacığından farklı bir iş parçacığından çağrıldığında (ağaç içi tüketici subsys/net/lib/config/init_clock_sntp.c içerisinde, SNTP zaman aşımı yöneticisi sistem çalışma kuyruğunda çalışırken, soket servis iş parçacığı aynı fd üzerinde poll işleminde bloklanmış durumdadır), kapatma işlemi net_context yapısını serbest bırakır ve yeniden kullanabilir; ancak poll iş parçacığı hala serbest bırakılan nesneye bağlı bir poller düğümüne sahip olduğundan, çekirdek poll yapılarında bir serbest bırakıldıktan sonra kullanım (use-after-free) veya nesne karışıklığına yol açar. SNTP zaman aşımı yolu, normal yanıt alamama hata modudur; bu nedenle, SNTP/NTP yanıtını düşüren veya geciktiren bir ağ eşi veya yol dışı saldırgan, yarış durumundaki kapatma işlemini tekrar tekrar (ve NET_CONFIG_SNTP_INIT_RESYNC ile periyodik olarak) tetikleyebilir. En muhtemel sonuç, ağ iş parçacığının çökmesi (hizmet reddi) olup, serbest bırakılan bağlam yuvası yeniden tahsis edildiğinde potansiyel bellek bozulması meydana gelebilir. Düzeltme, kapatma işlemini net_socket_service_close (NET_SOCKET_SERVICE_CLOSE_SOCKETS) aracılığıyla soket servis iş parçacığının kendisine erteler; böylece sorgulamayı yapan aynı iş parçacığı kapatma işlemini gerçekleştirerek yarış durumunu ortadan kaldırır. Etkilenen sürümler: v4.2.0 ile v4.4.0 arası.