Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10635)

En objetivos Xtensa con CONFIG_USERSPACE y CONFIG_XTENSA_MMU, el código de la tabla de páginas (arch/xtensa/core/ptables.c) mantiene una lista global, xtensa_domain_list, de dominios de memoria activos utilizando un nodo de lista incrustado dentro de la estructura k_mem_domain propiedad del llamador. Cuando un dominio es destruido a través de k_mem_domain_deinit() - arch_mem_domain_deinit(), las tablas de páginas son desmanteladas y domain-arch.ptables se establece en NULL, pero el nodo del dominio no fue eliminado de xtensa_domain_list. El dominio liberado/desinicializado, por lo tanto, permaneció vinculado a la lista global como un puntero colgante a un almacenamiento propiedad del llamador que luego puede ser liberado o reutilizado. Cualquier operación posterior de arch_mem_map()/arch_mem_unmap() (ampliamente invocada por el código de mapeo de memoria del kernel y paginación bajo demanda) atraviesa el nodo obsoleto y desreferencia domain-ptables: como mínimo una desreferencia de puntero NULL que causa una excepción MMU fatal (denegación de servicio), y si el almacenamiento de k_mem_domain ha sido liberado o reutilizado, un uso después de liberación en el que un valor obsoleto/controlado de ptables es desreferenciado y escrito durante el recorrido de la tabla de páginas (l2_page_table_map escribe l1_table[...] y l2_table[...], y xtensa_mmu_compute_domain_regs escribe en la estructura del dominio y la tabla L1), lo que produce corrupción de memoria de la tabla de páginas que puede socavar el aislamiento del espacio de usuario. La ruta vulnerable es accesible solo desde código privilegiado de kernel/supervisor (k_mem_domain_deinit no es una llamada al sistema), no directamente desde hilos de usuario sin privilegios o de forma remota. Afectado: Zephyr v4.4.0 (la característica de desinicialización de dominio de memoria Xtensa fue introducida en el commit 3032b58f52d y se lanzó por primera vez en v4.4.0); corregido en main añadiendo sys_slist_find_and_remove() en arch_mem_domain_deinit(). La ruta MPU de Xtensa no se ve afectada.