CVE-2026-90223

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: nfc: llcp: SNL TLV ayrıştırması skb ile sınırlandırıldı ve uzunluk kontrolleri eklendi nfc_llcp_recv_snl(), okumaları gerçek skb verisiyle sınırlandırmadan, skb->len değerinden türetilen bir u16 offset/length çiftini kullanarak SNL TLV listesini tarıyordu. Bu durum üç soruna yol açmıştır: - Kısa bir çerçeve için (skb->len < LLCP_HEADER_SIZE), tlv_len altında taşmaya (underflow) neden olmuştur. - Her TLV başlığı (tip, uzunluk), geriye iki bayt kaldığı kontrol edilmeden okunmuştur. - Beyan edilen bir TLV uzunluğu tamponun sonunu aşabilmekteydi ve uzunluğu 0 olan bir SDREQ, "service_name_len = length - 1" ifadesinin (size_t) altında taşmasına neden olarak takip eden strncmp() / nfc_llcp_sock_from_sn() fonksiyonlarında sınırlar dışı okuma (out-of-bounds read) tetiklemekteydi. Benzer şekilde SDRES durumu da uzunluk kontrolü yapılmadan tlv[2]/tlv[3] değerlerini okuyordu. Yakındaki bir NFC cihazı, kimlik doğrulaması olmadan bu duruma erişebilir; LLCP bağlantı aktivasyonu NFC-DEP sonrası otomatik olarak gerçekleşir. TLV listesi, lineer skb verileri üzerinde skb_tail_pointer() ile sınırlandırılmış bir işaretçi (pointer) aracılığıyla taranır ve her beyan edilen TLV uzunluğu kullanım öncesinde doğrulanır. SDREQ (>= 1) ve SDRES (tam olarak 2) için açık uzunluk kontrolleri eklenmiştir. 0sec otomatik güvenlik araştırma araçları (https://0sec.ai) tarafından bulunmuştur.