Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10637)

subsys/net/ip/ipv6_mld.c:mld_send() leyó la interfaz del paquete a través de net_pkt_iface(pkt) después de que net_send_data(pkt) regresara exitosamente. Según el contrato de propiedad de la pila de red (include/zephyr/net/net_core.h, y la advertencia explícita en subsys/net/ip/net_core.c:453-460 ’do not use pkt after that call’), un envío exitoso transfiere la propiedad del net_pkt y el controlador L2 lo libera (por ejemplo, ethernet_send() desreferencia el paquete al tener éxito, subsys/net/l2/ethernet/ethernet.c:790), devolviéndolo a su k_mem_slab. El subsiguiente net_pkt_iface(pkt) es, por lo tanto, una lectura de un objeto liberado; el puntero de interfaz recuperado es luego desreferenciado e incrementado por la ruta de estadísticas por interfaz (net_stats.h UPDATE_STAT/SET_STAT) cuando CONFIG_NET_STATISTICS_PER_INTERFACE está habilitado. Si el slot liberado es reasignado concurrentemente, pkt-iface puede leerse como NULL (desreferencia de puntero NULL / caída) o como un puntero obsoleto/basura (escritura de incremento errante / corrupción de memoria). La ruta es alcanzable remotamente en el enlace local sin autenticación: handle_mld_query() (registrado para NET_ICMPV6_MLD_QUERY) responde a una consulta general MLDv2 válida (dirección de multidifusión no especificada, límite de salto 1) llamando a send_mld_report() - mld_send(). El resultado es una denegación de servicio de la pila de red que puede ser activada remotamente, con una estrecha posibilidad de corrupción de memoria. La solución almacena en caché la interfaz en una variable local antes de enviar y ya no toca el paquete después de net_send_data(). El hermano IPv4/IGMP (igmp_send) ya utilizaba el patrón corregido.