Tpambor

O driver de disco da camada de tradução flash Dhara em `drivers/disk/ftl dhara.c` contém uma falha onde os callbacks `dhara nand ` gravam códigos de erro incondicionalmente em um ponteiro `dhara error t` `err` fornecido pelo chamador. Durante a busca binária de retomada do diário, a função `find last checkblock()` chama `find checkblock()`, que passa um ponteiro NULL para `dhara nand read()`. Este processo ocorre durante `disk ftl access init()` e `dhara map resume()` sempre que o disco FTL é montado ou inicializado. Se ocorrer um erro de leitura de flash — como um ECC (Código de Correção de Erros) incorrigível, bloco defeituoso ou erro de controlador — em uma página de checkpoint sondada, o driver desreferencia o ponteiro NULL, resultando em uma falha no kernel e negação de serviço. Isso pode ser desencadeado pelo desgaste da mídia, falhas induzidas ou uma imagem no flash corrompida.

Um erro de leitura use-after-free existe na implementação do IGMP IPv4. A função `igmp send()` em `subsys/net/ip/igmp.c` lê a interface de rede de um pacote usando `net pkt iface(pkt)` após o pacote ter sido passado para `net send data()`. Em certas configurações, a última referência do pacote pode ser liberada pelo driver L2 ou pelo processamento de TX da pilha de rede, retornando o bloco de memória para a lista de livres antes que a leitura ocorra. Se `CONFIG NET STATISTICS PER INTERFACE` estiver habilitado, o ponteiro pendente resultante é dereferenciado para uma escrita de contador de estatísticas. Este caminho pode ser acionado sem autenticação por meio de consultas de associação IGMP IPv4 recebidas endereçadas a 224.0.0.1 ou por operações locais de junção, saída ou junção novamente de multicast. Isso pode levar a comportamentos indefinidos, travamentos esporádicos ou negação de serviço. Um padrão semelhante existe no caminho MLD IPv6 dentro da função `mld send()` em `subsys/net/ip/ipv6 mld.c`.

Um problema de use-after-free existe na função `mld send()` dentro da implementação do IPv6 Multicast Listener Discovery (MLD). A função tenta ler a interface do pacote usando `net pkt iface(pkt)` após o `net send data(pkt)` ter retornado com sucesso. De acordo com o contrato de propriedade da pilha de rede, uma operação de envio bem-sucedida transfere a propriedade do `net pkt`, levando o driver L2 a liberá-lo. Consequentemente, acessar o pacote após essa chamada resulta na leitura de um objeto liberado. Quando `CONFIG NET STATISTICS PER INTERFACE` está habilitado, o ponteiro da interface recuperado é desreferenciado para atualizar estatísticas. Se a memória for realocada simultaneamente, isso pode levar a uma desreferência de ponteiro NULL, causando um travamento, ou a uma gravação irrelevante resultando em corrupção de memória. Isso pode ser acionado remotamente sem autenticação no link local através do envio de uma Consulta Geral MLDv2 válida, que induz a função `handle mld query()` a chamar `send mld report()` e, subsequentemente, `mld send()`, potencialmente levando a uma negação de serviço.

Um problema de use-after-free existe na pilha IPv4 nativa dentro da função `icmpv4 handle echo request()` em `subsys/net/ip/icmpv4.c`. A função cria um pacote de resposta de eco e o passa para `net try send data()`, que transfere a propriedade do pacote para o caminho de transmissão. Esse processo pode liberar a memória do pacote de volta para seu slab via `net pkt unref()` e `k mem slab free()` antes que a função chame `net stats update icmp sent()` usando `net pkt iface(reply)`. Consequentemente, o sistema lê a variável `iface` de uma memória liberada ou realocada. Quando `CONFIG NET STATISTICS PER INTERFACE` está habilitado, isso pode levar a uma operação de escrita através de um ponteiro obsoleto. Esta falha é acessível sem autenticação por qualquer host remoto que envie uma solicitação de ping e é controlada por `CONFIG NET STATISTICS ICMP`. O impacto inclui a possível corrupção de estatísticas de interface ou um travamento de negação de serviço (DoS) disparável remotamente devido a uma condição de corrida de tempo.