CVE-2026-75084

CC1200 sub-GHz IEEE 802.15.4 sürücüsü, get_packet_length() fonksiyonunda PHY paket uzunluğunu radyonun RX FIFO'sunun ilk baytından alır ve bunu verify_rxfifo_validity() fonksiyonunda doğrular (drivers/ieee802154/ieee802154_cc1200.c). Bu doğrulama yalnızca alt sınırı zorunlu kılmıştır (pkt_len < 3); ikinci maddesi ise beyan edilenden daha fazla bayt içeren bir FIFO'yu reddeder ve bu nedenle büyük değerleri hiçbir zaman sınırlandırmaz. Sürücü, radyoyu PKT_LEN = 0xFF ile değişken paket uzunluğu için yapılandırdığından, uzunluk baytı 0-255 arasında havadan gelen bir değerdir ve net_pkt_rx_alloc_with_buffer() fonksiyonuna ve ardından gelen sınırlanmamış SPI burst okumasına ulaşır. Radyo menzilindeki kimlik doğrulaması yapılmamış bir saldırgan, çipin 128 baytlık RX FIFO'su henüz taşmamışken, IEEE 802.15.4 maksimum değeri olan 127'nin üzerinde bir uzunluk baytı sunan bir çerçeve iletebilir; böylece sürücünün RX_FIFO_ERROR ön kontrolü tetiklenmez. Bu duruma ulaşmak, RF çerçeveleme ve zamanlamaya bağlıdır çünkü RX iş parçacığı PKT_SYNC_RXTX sinyali tarafından yönlendirilir ve bir paket tamamlanmadan önce FIFO'dan örnekleme yapabilir; herhangi bir eşleştirme, kimlik doğrulama veya kullanıcı etkileşimi gerekmez. Varsayılan CONFIG_NET_BUF_FIXED_DATA_SIZE ve CONFIG_NET_BUF_DATA_SIZE=128 ayarlarıyla, bir fragmandan daha büyük bir tahsisat fragman zinciriyle karşılanır ancak read_rxfifo_content() fonksiyonu, ilk fragmanın buf->data kısmına pkt_len baytlık tek bir SPI burst işlemi gerçekleştirir ve ardından aynı uzunlukla net_buf_add() fonksiyonunu çağırır. Bu nedenle, 128'in üzerindeki bir uzunluk, bitişik rx_bufs havuzundaki bir fragmanın sonunun ötesine 127 bayta kadar yazar ve kapasitesini aşan bir len değerine sahip bir net_buf bırakır. Taşan baytlar, saldırgan tarafından seçilen veriler değil FIFO-underflow çıktısıdır; dolayısıyla pratik etkisi kontrollü bir yazma işleminden ziyade ağ tampon havuzu bozulması ve çökmelerdir. Yalnızca CONFIG_IEEE802154_CC1200 özelliğinin etkinleştirildiği ve ekli bir CC1200 radyosunun bulunduğu derlemeler etkilenmektedir.