CVE-2026-12234

subsys/net/lib/sockets/sockets.c içindeki kullanıcı alanı sistem çağrısı doğrulayıcıları z_vrfy_zsock_sendmsg() ve z_vrfy_zsock_recvmsg(), çağıran tarafından sağlanan struct net_msghdr yapısını k_usermode_from_copy() ile çekirdek tarafında bir kopyaya anlık görüntü olarak alır, ancak sonraki kararlar için hâlâ canlı olan kullanıcı struct'ını yeniden okur. Çekirdek iovec gölge arabelleği, msg->msg_iovlen alanının tek bir okumasına göre boyutlandırılırken, doldurma döngüsü aynı alanın ikinci, canlı bir okumasıyla sınırlandırılır. msg normal kullanıcı belleğine işaret ettiğinden, aynı bellek alanındaki işbirliği yapan ikinci bir iş parçacığı, boyutlandırma okuması ile döngü testi arasındaki pencerede msg->msg_iovlen değerini şişirebilir (klasik bir çift getirme / TOCTOU). Doldurma döngüsü daha sonra gerçekte ayrılan net_iovec yuva sayısının ötesine yinelenir ve saldırganın etkilediği iov_base/iov_len değerlerini çekirdek yığın gölge arabelleğinin sonunun ötesine yazar. recvmsg doğrulayıcısı, hem gelen hem de sonuç geri yazma döngülerinde aynı kusura sahiptir. Kod, CONFIG_USERSPACE etkinleştirildiğinde ve zsock_sendmsg/zsock_recvmsg sistem çağrıları mevcut olduğunda ayrıcalıksız bir kullanıcı iş parçacığından erişilebilir. Başarılı bir yarış, kullanıcıdan çekirdeğe ayrıcalık sınırı boyunca çekirdek tarafından yönetilen yığın belleğini bozarak yerel bir yetki yükseltme ilkeli veya en azından bir çekirdek hatası hizmet reddi üretir. Düzeltme, başlığı bir kez kopyalar ve her boyut, sınır ve kapıyı anlık görüntüden türetir; her iovec girdisini atomik olarak kopyalayarak base ve uzunluğunun artık birbirinden ayrılarak yarışa sokulmasını engeller.