Frédéric Desbiens

تفشل أدوات تحميل مدير الوحدات (Module Manager loaders) في تحرير mutex مدير الوحدات عند حدوث خطأ في التجاوز (overflow). يحدث هذا عندما يعلن تمهيد الوحدة عن حجم بيانات أو مكدس يتسبب في تجاوز حسابات التخصيص. نتيجة لذلك، يؤدي تحميل مثل هذه الصورة إلى حظر جميع عمليات تحميل الوحدات أو تشغيلها أو إيقافها أو إلغاء تحميلها اللاحقة من خيوط المعالجة (threads) الأخرى، مما يتطلب إعادة ضبط النظام للتعافي.

عند بنائه مع خاصية اكتشاف وحدة النقل القصوى (MTU) لمسار IPv6، يفشل معالج حزمة ICMPv6 Packet Too Big في التحقق مما إذا كانت إدخالات جدول الوجهة قد تمت إضافتها بنجاح قبل استخدامها. يمكن لمرسل على الشبكة ملء جدول الوجهة برسائل Packet Too Big التي تشير إلى وجهات جديدة، مما يؤدي بعد ذلك إلى إلغاء مرجع مؤشر NULL في خيط مساعد IP، مما يتسبب في تعطل النظام على الأهداف التي تعاني من خطأ في العنوان 0 وإيقاف جميع عمليات معالجة الشبكة.

يقوم معالج PendSV في منافذ وحدة Cortex-M بحفظ سجلات خيط وحدة وضع المستخدم الذي تم استباقه في وضع الامتياز باستخدام عناوين مأخوذة من مؤشر مكدس الخيط. ونظرًا لأن المعالج لا يتحقق من المؤشر مقابل مكدس الخيط، يمكن لوحدة وضع المستخدم المحمية بالذاكرة كتابة ما يصل إلى تسع كلمات (ثمانٍ من اختيارها، أو 25 مع حالة النقطة العائمة) في الذاكرة الموجودة مباشرة أسفل أي منطقة يمكنها الكتابة فيها، وقراءة ما تم تخزينه هناك.

تفشل خدمات التحكم في الخيوط (thread-control services) الخاصة بمدير الوحدات (Module Manager) في التحقق مما إذا كان الخيط الذي قدمته وحدة محمية الذاكرة في وضع المستخدم ينتمي بالفعل إلى تلك الوحدة. يسمح هذا لأي وحدة محملة بتنفيذ إجراءات غير مصرح بها على خيوط التطبيقات أو خيوط الوحدات الأخرى، بما في ذلك تعليقها، أو استئنافها، أو إنهاؤها، أو إعادة ضبطها، أو إعادة ترتيب أولوياتها، بالإضافة إلى إلغاء عمليات الانتظار الخاصة بها. يمكن أن تؤدي هذه الإجراءات إلى حجب الخدمة أو إجراء تغييرات غير مصرح بها في جدولة النظام.

يقوم خادم NetX Secure DTLS بتخصيص جلسة من مجمع جلساته الثابت عند استلام أول مخطط بيانات (datagram) من عنوان ومنفذ غير معروفين، وذلك قبل عملية تبادل ملفات تعريف الارتباط (cookie exchange). ونظرًا لأن الجلسات التي تتوقف فيها عملية المصافحة (handshake) لا يتم تحريرها أبدًا، يمكن لمهاجم عن بُعد غير مصرح له استنفاد مجمع الجلسات عن طريق إرسال مخطط بيانات واحد مزيف لكل مصدر. يؤدي ذلك إلى حرمان العملاء الشرعيين من خدمة DTLS حتى تقوم التطبيقات بإعادة تعيين الجلسات.

عند بنائه مع دعم BSD raw socket و IPv6، يفشل مسار إرسال IPv6 raw في التحقق مما إذا كانت إدخالات جدول الوجهة قد تمت إضافتها بنجاح. عندما يكون جدول الوجهة ممتلئًا ويتم الوصول إلى وجهة خارج الرابط (off-link) عبر موجه افتراضي يكون إدخال ذاكرة التخزين المؤقت للجيران فيه غير معروف، فإن الإرسال عبر مقبس IPv6 raw مع تضمين الرأس يؤدي إلى إلغاء مرجع مؤشر NULL. يمكن لمرسل عن بُعد ملء الجدول، على سبيل المثال، باستخدام رسائل ICMPv6 Packet Too Big، مما يؤدي إلى تعطل خيط الإرسال.

In the IPv4 PASV path, the FTP Client accepts any address provided in the server's `227` reply. Because validation is limited to parsing and checking for non-zero values, a malicious server can specify an arbitrary address to redirect the Client.

A NULL pointer dereference occurs when the MSRP attribute table is exhausted. A NULL pointer dereference is a type of software error where a program attempts to read from or write to a memory address that is NULL, typically leading to a system crash.

A NULL pointer dereference occurs when evicting the sole MSRP (Media Service Resource Protocol) attribute. A NULL pointer dereference is a software error where the program attempts to read from or write to a memory address that is NULL, typically leading to a system crash.

Improper validation of non-secure (NS) pointers in multiple non-secure callable (NSC) entry functions allows an attacker in the non-secure world to provide pointers to secure memory. The secure firmware dereferences these pointers without verifying they reference non-secure memory, leading to the unintended disclosure of secure memory contents. This breach of isolation guarantees can be used as a memory disclosure or corruption primitive to potentially recover sensitive cryptographic material.

An issue exists where unbounded PPP IPCP option parsing leads to a worker stall and an out-of-bounds read. PPP (Point-to-Point Protocol) IPCP (Internet Protocol Control Protocol) is used to configure the IP addresses of two endpoints on a point-to-point link.

The issue involves an FTP passive data connection that is not bound to the authenticated control peer, which could allow an unauthorized party to intercept or hijack the data channel.

Two client-side TLS/DTLS handshake parsers contain bounded out-of-bounds reads. This occurs when the parsers read fields from a server-supplied message before validating if the message is long enough to contain them. The issue is triggered when a TLS or DTLS client connects to a malicious or malformed server; although a bounds check is present, it is executed after the read operation it is intended to protect.

An out-of-bounds read occurs due to the use of an unvalidated MSRP attribute list length. This issue allows the system to read data beyond the intended buffer boundaries when processing the attribute list.

In builds with `TX ENABLE EVENT TRACE` enabled, a user-mode, memory-protected module using `TXM MODULE USER MODE | TXM MODULE MEMORY PROTECTION` can register an arbitrary function pointer as the global trace-full callback. The kernel executes this pointer directly from privileged kernel code without validation or a trampoline when the trace buffer wraps. This can lead to a kernel fault resulting in a Denial of Service (DoS) if an invalid pointer is used, or allow code within the module to execute with kernel privileges (`CONTROL.nPRIV = 0`).

Two issues exist in the loadable-module loader. These are triggered when a device loads an attacker-controlled module object using the ` txm module manager memory load` or ` txm module manager in place load` APIs. Because these APIs only accept a base pointer and no image length, all size and offset fields in the `TXM MODULE PREAMBLE` are trusted. This leads to a heap out-of-bounds read, where the `code size` variable is trusted as the source-image length during the code-copy loop. Additionally, there is a control-flow-integrity gap where module entry, start, callback, and stop pointers are calculated as `code start + preamble offset` with only a non-zero check, and the preamble `checksum` is not verified.

The software generates predictable cookies during the DTLS HelloVerifyRequest process. This predictability can be exploited to bypass the cookie-based mechanism intended to prevent Denial of Service (DoS) attacks, which are attempts to make a machine or network resource unavailable to its intended users.

A heap-buffer-overflow occurs when a DHCP server or a malicious actor on the local area network responds to a DISCOVER message. The issue stems from an incorrect bound check during the option walk process, where a pointer and an offset are kept out of sync. Specifically, for every TLV (Type-Length-Value) option skipped, the offset falls one byte behind the actual read position. This allows the system to read approximately one kilobyte past the end of the received message if a long sequence of skippable options is provided in an OFFER message. This read operation occurs in the DHCP client thread during boot while the client is unconfigured, and the leaked bytes can be used to configure the interface, making the disclosed information observable. The flaw is located in the ` nx dhcp search buffer()` function, which is called by ` nx dhcp get option value()`.

A heap-buffer-overflow occurs when a TFTP server responds with a short ERROR packet. The client only verifies that the datagram is at least four bytes long, but fails to compare the `buffer ptr` against the `nx packet append ptr` when copying the message string. If an ERROR packet lacks a terminating NUL byte, the loop continues reading past the end of the packet until a zero byte is encountered or the 64-byte destination buffer is filled. This allows adjacent packet pool memory to be leaked into the `nx tftp client error string` variable, which may then be displayed or logged by the application. This issue affects the ` nxd tftp client file read()` function and other receive paths in the `nxd tftp client.c` file.