CVE-2026-15923

Zephyr SDIO alt sistemindeki subsys/sd/sdio.c dosyasında bulunan sdio_io_rw_extended_helper() fonksiyonu, aktarımları her yineleme adımı olarak size = MIN(remaining, func->cis.max_blk_size) değerini kullanan bir bayt-G/Ç döngüsü ile tamamlar. func->cis.max_blk_size değeri, sdio_decode_cis() içerisinde doğrudan SDIO kartının CIS FUNCE demetinden çözümlenir ve doğrulanmaz. Bir kart maksimum blok boyutunu sıfır olarak bildirdiğinde, size değeri her zaman 0 olur, remaining değeri asla azalmaz ve döngü sonsuza kadar döner. Bu döngüye; sdio_read_fifo(), sdio_write_fifo() ve artımlı kayıt okuma/yazma yardımcıları dahil olmak üzere sürücüler tarafından kullanılan genel SDIO istemci API'si üzerinden erişilir ve bunların her biri döngüye girerken karta özel mutex olan func->card->lock kilidini tutar. Bu nedenle, max_blk_size == 0 şeklinde reklam yapan bir kart, ilk blok hizalı olmayan aktarımında çağıran iş parçacığını kalıcı olarak askıya alır ve mutex kilidini asla serbest bırakmaz; bu durum cihaz sıfırlanana kadar SDIO çevre birimine (ve ona bağımlı olan Wi-Fi gibi herhangi bir alt sisteme) hizmet reddine yol açar. Kötü niyetli değerin bizzat SDIO kartından gelmesi gerekir, dolayısıyla bu kusur, çıkarılabilir bir SDIO/kombo kart yuvasının saldırganın hazırlanmış veya arızalı bir kart takmasına izin verdiği durumlarda istismar edilebilir (fiziksel bir saldırı vektörü); lehimlenmiş bir SDIO çevre birimine sahip kartlarda ise saldırgan tarafından etkilenemez. Bellek güvenliği, gizlilik veya bütünlük üzerinde bir etkisi yoktur; yalnızca kalıcı bir kullanılabilirlik kaybı söz konusudur. Düzeltme, döngüye girilmeden önce func->cis.max_blk_size sıfır olduğunda -EIO döndürür.