CVE-2026-19577

subsys/net/ip/route_ipv6.c dosyasındaki net_route_ipv6_packet(), komşu önbellek girdisinin gerçekten bağlı bir bağlantı katmanı adresine sahip olup olmadığını önce kontrol etmeden, nexthop'un bağlantı katmanı adresini net_nbr_get_lladdr(nbr->idx) ile çözümlemiştir. Çözümlenmemiş bir komşu idx == NET_NBR_LLADDR_UNKNOWN (0xff) değerini taşır ve subsys/net/ip/nbr.c içindeki net_nbr_get_lladdr(), bir NET_ASSERT dışında herhangi bir çalışma zamanı sınır kontrolü yapmayarak varsayılan boyutu CONFIG_NET_IPV6_MAX_NEIGHBORS (8) olan bir dizinin sonunun yaklaşık 2,5 KB ötesindeki &net_neighbor_lladdr[255] değerini döndürür. Döndürülen işaretçi hiçbir zaman NULL olmadığı için, sonraki lladdr == NULL koruması bunu yakalayamaz. Bu fonksiyona, hedefi alan arayüzde yerel bir adres olmayan her alınan tekil (unicast) IPv6 paketi için subsys/net/ip/ipv6.c içindeki ipv6_route_packet() üzerinden ulaşılır; IPv6 komşu önbelleği etkin olduğunda CONFIG_NET_IPV6_ROUTE de varsayılan olarak etkinleşir, bu nedenle herhangi bir yönlendirici veya iletme yapılandırmasına gerek yoktur. net_route_ipv6_get_info(), paket için bir komşu önbellek girdisi mevcut olduğunda paketin hedefini nexthop olarak döndürür ve önbellek araması INCOMPLETE girdilerini atlamaz. Aynı bağlantıdaki kimliği doğrulanmamış bir saldırgan, örneğin net_ipv6_send_ns()'nin bir INCOMPLETE girdisi oluşturması için sahte ve var olmayan bir komşu adresine trafik çekerek veya kaynak bağlantı katmanı adresi seçeneği olmayan bir Yönlendirici İlanı (Router Advertisement) göndererek (bu durum kalıcı olarak çözümlenmemiş bir yönlendirici komşusu oluşturur) çözümlenmemiş durumu zorlayabilir ve ardından o komşuya hitap eden bir paket gönderebilir. Sonuç, komşu bağlantı katmanı adresi dizisinin ötesinde sabit bir indekste sınır dışı okuma (out-of-bounds read) gerçekleşmesidir. CONFIG_ASSERT özelliğinin etkin olduğu derlemelerde, onaylama tetiklenir ve cihaz panic durumuna geçer, bu da tekrarlanabilir bir uzaktan hizmet reddi (DoS) sağlar. Onaylamalar devre dışı bırakıldığında, güncelliğini yitirmiş sınır dışı struct net_linkaddr, saldırgan tarafından etkilenmeyen bir uzunlukta memcmp() işlemini yürütür ve len baytı NET_LINK_ADDR_MAX_LENGTH kontrolünü geçtiğinde, ilgisiz statik RAM'den 8 bayta kadar veri giden çerçevenin hedef bağlantı katmanı adresine kopyalanır ve bağlantı üzerinden iletilerek dinleyen herkese ifşa edilir. Sınır dışı yazma işlemi yoktur ve ofset saldırgan tarafından kontrol edilemez, bu da etkinin kapsamını sınırlar.