CVE-2026-12235

Linkable Loadable Extensions (llext) alt sistemi, yeniden konumlandırılabilir (kısmen bağlanmış) bir ELF uzantısını bağlarken PLT/RELA yeniden konumlandırma girdilerini hatalı işler. llext_link_plt() (subsys/llext/llext_link.c) içinde, yeniden konumlandırılabilir dal (tgt != NULL, Xtensa yeniden konumlandırılabilir nesneleri için kullanılan yol) yama adresini ext->mem[LLEXT_MEM_TEXT] - text.sh_offset + rela.r_offset + tgt->sh_offset olarak hesapladı ve ardından rela.r_offset değerini doğrulamadan yeniden konumlandırma yazımını orada gerçekleştirdi. Kardeş paylaşımlı/dinamik dal ise aralık dışı ofsetleri zaten llext_file_offset() aracılığıyla reddediyordu. rela.r_offset doğrudan ELF'in RELA tablosundan okunur; bu nedenle hedef bölümden daha büyük bir ofset içeren hazırlanmış bir girdi, yazımın uzantının metin arabelleğinin keyfi olarak çok uzağına düşmesine neden olur. Sonuç, bağlama zamanında, herhangi bir uzantı kodu çalışmadan önce, süpervizör bağlamında gerçekleştirilen saldırgan etkili bir sınır dışı yazımdır (konum r_offset aracılığıyla, yazılan değer ise çözümlenen sembol adresidir). Bu yola, bir uygulama Xtensa üzerinde yazılabilir depolama ile saldırgan etkili bir ELF uzantısı yüklediğinde llext_load() üzerinden ulaşılır; llext'in güvenilmeyen kaynaklardan gelen uzantıları kabul ettiği belgelenmiştir. Etki, süpervizör bağlamında bellek bozulmasıdır (bütünlük ve kullanılabilirlik kaybı ve kullanıcı modu uzantıları için bir sandbox sınırı ihlali). Sömürü, Xtensa yeniden konumlandırılabilir PLT yolu ve yazılabilir depolama ile sınırlandırılmıştır ve aralık dışı yazımı kullanışlı bir ilkel öğeye dönüştürmek önemsiz değildir. Düzeltme, paylaşımlı daldaki mevcut doğrulamayı yansıtarak r_offset >= tgt->sh_size olan herhangi bir RELA girdisini reddeden bir sınır denetimi ekler.