CVE-2026-10665

Zephyr'in WireGuard alt sisteminde (subsys/net/lib/wireguard), wg_crypto.c dosyasındaki wg_process_data_message() fonksiyonu, şifre çözme işleminden önce gelen bir taşıma verisi yükünü (transport-data payload), CONFIG_WIREGUARD_BUF_LEN bayt boyutundaki sabit bir havuz tamponuna doğrusal hale getirir. net_buf_linearize(buf->data, data_len, pkt->buffer, ..., data_len) çağrısı, saldırgan tarafından belirlenen data_len değerini hem hedef kapasite hem de kopyalama uzunluğu olarak ileterek, fonksiyonun dahili len = min(len, dst_len) sınırını etkisiz hale getirmiştir. data_len değeri, alınan UDP veri paketinin uzunluğundan türetilir ve yalnızca wg_ctrl_recv() tarafından alt sınıra tabi tutulmuştur (üst sınır yoktur). data_len, CONFIG_WIREGUARD_BUF_LEN değerini aştığında — örneğin tampon uzunluğu bağlantı MTU değerinin altına düşürüldüğünde, MTU değeri tampon boyutunun üzerindeki bağlantılarda veya bu sınırı aşan yeniden birleştirilmiş IPv4/IPv6 parçaları aracılığıyla — alttaki memcpy işlemi havuz tamponunun sonunun ötesine yazar; bu durum bir sınır dışı yazmaya (out-of-bounds write - CWE-787) yol açar. Taşma, Poly1305 kimlik doğrulama kontrolünden önce gerçekleştiğinden, geçerli bir kimlik doğrulayıcı yerine yalnızca geçerli bir alıcı oturum dizini gerektirir ve ağ üzerinden kötü niyetli veya ele geçirilmiş bir eş (veya kurulmuş bir oturumu yöneten yol üstü bir saldırgan) tarafından erişilebilir durumdadır; bu da uzaktan bellek bozulmasına ve en azından güvenilir bir hizmet reddine (DoS) neden olur. Bu kusur, Zephyr 4.4.0 sürümünde sunulan WireGuard uygulamasında mevcuttu. Düzeltme, açık bir data_len > CONFIG_WIREGUARD_BUF_LEN reddi ekler ve linearize çağrısını hedef kapasite olarak net_buf_max_len(buf) değerini geçirecek şekilde düzeltir.