CVE-2026-15891

subsys/net/lib/mqtt_sn/mqtt_sn.c dosyasındaki MQTT-SN istemci keepalive işleyicisi process_ping(), PINGREQ yeniden denemeleri tükendiğinde ağ geçidi kaydını siler. İşlem sırasında SYS_SLIST_PEEK_HEAD_CONTAINER(&client->gateways, gw, next) çağrılmış ancak sonuç göz ardı edilmiştir. Bu makro, gw değişkenine atama yapmayan saf bir ifade olduğundan, liste içeriğinden bağımsız olarak gw değeri NULL başlatıcısını korumuştur. Kod daha sonra NULL olan gw değerini (gw->gw_id) çözümler ve bunu mqtt_sn_gw_destroy() fonksiyonuna ileterek k_mem_slab_free(&gateways, NULL) aşamasına ulaşır. CONFIG_MEM_SLAB_POINTER_VALIDATE etkinleştirildiğinde bu durum k_panic() tetikler; varsayılan yapılandırmada ise NULL işaretçisi üzerinden bir yazma işlemi gerçekleştirir ((char )mem = slab->free_list;) ve slab serbest listesini bozar. Sonuç, bir çökme/çekirdek paniği veya adres 0'ın yazılabilir olduğu hedeflerde sessiz bellek ayırıcı bozulmasıdır. Hassas dal, bağlı MQTT-SN ağ geçidi yapılandırılan yeniden deneme sayısı boyunca keepalive PINGREQ'lerine yanıt vermediğinde çalışır. Bu durum uzak uç tarafından kontrol edilir: kötü niyetli veya ele geçirilmiş bir ağ geçidi ya da kendisini ağ geçidi olarak tanıtan ve ardından yanıt vermeyi durduran (veya gerçek ağ geçidinin PINGRESP'lerini kara deliğe gönderen) yol üstü/komşu bir saldırgan, istemciyi bu kusura zorlar. MQTT-SN, UDP üzerinden çalışır ve herhangi bir kimlik doğrulama gerektirmez. Etki, etkilenen MQTT-SN istemcisinin uzaktan tetiklenebilir hizmet reddi (kullanılabilirlik) durumudur; saldırgan tarafından kontrol edilen herhangi bir veri yazılmaz. Benzer kayıt silici işlem olan process_advertise(), SYS_SLIST_FOR_EACH_CONTAINER_SAFE kullandığı için etkilenmemektedir. Düzeltme, makronun dönüş değerini gw değişkenine atar.