CVE-2026-16515

subsys/net/ip/icmpv6.c dosyasındaki net_icmpv6_send_error() fonksiyonu, RFC 4443 bölüm 2.4'teki üç bastırma kuralından (bir ICMPv6 hatasına başka bir ICMPv6 hatasıyla yanıt vermeme) yalnızca birini uygulamıştır. Tetikleyici paketin kaynak adresinin tek bir düğümü tanımlayıp tanımlamadığını (kural e.6) veya paketin çoklu yayın (multicast) hedefli gönderilip gönderilmediğini (yalnızca Packet Too Big ve Parameter Problem Code 2 istisnaları olan kural e.3) kontrol etmemiştir. Beş çağrı noktasından yalnızca subsys/net/ip/connection.c içindeki port-unreachable yolu kendi eşdeğer korumasına sahipti; subsys/net/ip/ipv6.c ve subsys/net/ip/ipv6_fragment.c dosyalarındaki extension-header, unknown-next-header ve fragmentation yollarında ise herhangi bir koruma bulunmamaktaydı. Aynı bağlantıya erişimi olan kimliği doğrulanmamış bir saldırgan bunu iki şekilde istismar edebilir. Kaynak adresi seçilen bir kurbana göre sahtelenmiş (spoofed), tanınmayan bir next-header değeri taşıyan tek bir IPv6 paketinin link-local tüm düğümler grubu ff02::1 adresine gönderilmesi, bağlantıdaki her Zephyr düğümünün söz konusu kurbana bir ICMPv6 Parameter Problem mesajı göndermesine neden olur; bu durum, düğüm sayısı kadar amplifikasyon faktörüne sahip bir reflektöre yol açar. Alternatif olarak, kaynak adresi bir multicast adresi olan tekli yayın (unicast) paketinin gönderilmesi, düğümün ICMPv6 hatasını o multicast adresine iletmesine neden olarak bir unicast paketi bağlantıyı dolduran bir multicast çerçevesine dönüştürür. ff02::1 adresine gönderilen paketler ipv6_input() tarafından koşulsuz olarak kabul edilir ve hiçbir kontrol multicast kaynak adresini reddetmez, dolayısıyla özel bir yapılandırmaya gerek yoktur. Etkisi, paylaşılan bağlantının ve yansıtma kurbanının kullanılabilirliğinin azalmasının yanı sıra, saldırganın kendi adresini yanıt veren düğümlerin arkasına gizleyebilmesidir. Bu etki, link-local multicast trafiğinin sekme sekme (hop by hop) yaydığı 802.15.4/Thread gibi kısıtlı mesh bağlantılarında artmaktadır. Bellek güvenliğiyle ilgili bir sonuç yoktur: hata paketinin kendisi düzgün biçimlendirilmiştir, sadece protokolün yasakladığı durumlarda gönderilmektedir. Düzeltme, herhangi bir yanıt paketi tahsis edilmeden önce net_icmpv6_send_error() içerisindeki tek darboğaz noktasına her iki bastırma kontrolünü de ekleyerek NET_ICMPV6_PACKET_TOO_BIG ve Parameter Problem Code 2 için RFC tarafından zorunlu kılınan istisnaları korur. subsys/net/ip/icmpv4.c dosyasındaki IPv4 karşılığı olan net_icmpv4_send_error() fonksiyonunun hala yalnızca yayın (broadcast) hedefini kontrol ettiği ve multicast hedefleri ile benzersiz olmayan kaynaklar için benzer bir boşluk barındırdığı unutulmamalıdır.