CVE-2026-10678

Zephyr'deki (subsys/pmci/mctp/mctp_i2c_gpio_target.c) MCTP-over-I2C+GPIO hedef bağlaması, bir I2C veri yolu ana bilgisayarından gelen sözde kayıt yazmalarını mctp_i2c_gpio_target_write_received() fonksiyonunda sıra veya alma tamponunu doğrulamadan bayt bayt işler. Etkilenen sürümlerde MCTP_I2C_GPIO_RX_MSG_ADDR (data) yöneticisi, alma tamponunun tahsis edildiğini kontrol etmeden b->rx_pkt üzerinden başvuruda bulunur ve yazma işlemi gerçekleştirir: Veri kaydını seçen ve önce uzunluk kaydını (tamponu tahsis eden kısım) göndermeden bir bayt yazan bir denetleyici, saldırgan tarafından seçilen bir baytın NULL/tahsis edilmemiş bir mctp_pktbuf işaretçisi aracılığıyla (yani adres 0'ın üzerindeki küçük, saldırgan tarafından ilerletilebilir bir ofsete) yazılmasına neden olarak bellek bozulmasına veya sert hataya (hard fault) yol açar. Aynı yönetici ayrıca "önce yaz sonra sınırları kontrol et" testi gerçekleştirdiğinden, 255'ten fazla veri baytı gönderildiğinde data[255] konumunda tek baytlık bir yığın taşmasına (heap overflow) izin verir. I2C hedef geri çağırması, veri yolu ana bilgisayarı olan herhangi bir cihaz tarafından sağlanan ham baytlarla çağrıldığı ve bağlama hiçbir kimlik doğrulama yapmadığı için, veri yolundaki kötü niyetli veya arızalı bir denetleyici, önceden herhangi bir protokol durumu olmaksızın bunları tetikleyebilir; bu da hedef cihazda bellek bozulmasına ve/veya hizmet reddine (DoS) yol açabilir. Hatalı kod, I2C+GPIO hedef bağlaması eklendiğinde tanıtılmış olup Zephyr v4.3.0 ve v4.4.0 sürümlerinde yayınlanmıştır. Düzeltme, tahsisi bir NULL kontrolü ile ilk veri baytına erteler, eksik uzunluğu libmctp tarafından reddedilen sıfır boyutlu bir paket olarak değerlendirir ve sınır kontrolünü depolama işleminden öncesine taşır.