CVE-2026-10664

nRF70 Wi-Fi sürücüsünün drivers/wifi/nrf_wifi/src/wifi_mgmt.c dosyasındaki güç tasarrufu olay işleyicisi nrf_wifi_event_proc_get_power_save_info(), bir nrf_wifi_umac_event_power_save_info olayından gelen TWT (Target Wake Time) akış girişlerini, çağırıcı tarafından sağlanan bir struct wifi_ps_config yapısının sabit boyutlu twt_flows[WIFI_MAX_TWT_FLOWS] (8 öğeli) dizisine kopyalamaktadır. Bu işlem sırasında, olayla birlikte sağlanan num_twt_flows değeri WIFI_MAX_TWT_FLOWS ile doğrulanmadan veya event_len kontrol edilmeden döngüye alınmaktadır. num_twt_flows 8'i aştığında, işleyici hedef dizinin dışına yazar (bu dizi genellikle çağırıcının yığınında bulunur, örneğin wifi ps kabuk komutu) -- yaklaşık 40 baytlık TWT girişlerinden oluşan bir sınır dışı yazma işlemi gerçekleşir -- ve olay tamponunun ötesindeki twt_flow_info[i] değerini okur. Olay, ana bilgisayar tarafından başlatılan bir güç tasarrufu GET isteğine yanıt olarak nRF70 yardımcı işlemci aygıt yazılımı tarafından iletilir; dolayısıyla taşmaya ulaşmak için aygıt yazılımının hatalı biçimlendirilmiş veya kapsam dışı bir olay yayınlaması gerekir; güven sınırı doğrudan uzak bir AP yazmasından ziyade ana bilgisayardan güvenilir yardımcı işlemciye doğrudur ve akış sayısı üzerindeki havadan etki dolaylıdır ve 3 bitlik TWT flow-id alanı ile sınırlıdır. Etkilenenler: v4.4.0 sürümüne kadar olan yayınlarda CONFIG_NRF70_STA_MODE ile yapılan derlemeler. Düzeltme, num_twt_flows > WIFI_MAX_TWT_FLOWS olan veya event_len değeri beyan edilen girişlerden daha kısa olan olayları reddeder ve çağırıcı tamponuna bir NULL kontrolü ekler.