Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10638)

subsys/net/ip/icmpv6.c lee la interfaz de red de un net_pkt después de que ese paquete ha sido entregado a net_try_send_data(). En icmpv6_handle_echo_request() y net_icmpv6_send_error(), la actualización de estadísticas post-envío llama a net_pkt_iface(reply)/net_pkt_iface(pkt) en el paquete recién enviado. La ruta de envío (net_try_send_data - net_if_tx) desreferencia y puede liberar el paquete de vuelta a su bloque de memoria antes de regresar - sincrónicamente en el hilo RX cuando no hay cola TX configurada (CONFIG_NET_TC_TX_COUNT == 0), y asincrónicamente el controlador/L2 puede ya haberlo liberado de otra manera. net_pkt_iface() por lo tanto desreferencia un net_pkt liberado (y posiblemente reutilizado); con CONFIG_NET_STATISTICS_PER_INTERFACE el puntero iface obsoleto es desreferenciado y escrito a través (iface-stats.icmp.sent++), convirtiendo la lectura de uso después de liberación en una escritura a través de un puntero influenciable por el atacante. La pila central ya documenta este peligro en net_core.c (’no usar pkt después de esa llamada’) y almacena en caché iface antes de enviar; los llamadores de ICMPv6 no lo hicieron. Un atacante remoto no autenticado activa la falla simplemente enviando una solicitud de eco ICMPv6 (ping) o un paquete IPv6 que provoca un error ICMPv6 (encabezado siguiente desconocido, tiempo de espera de reensamblaje de fragmentos, destino inalcanzable), lo que lleva a denegación de servicio a través de un fallo y potencial corrupción de memoria. Afectado: redes Zephyr con CONFIG_NET_NATIVE_IPV6, aproximadamente de v4.2.0 a v4.4.0. La solución almacena en caché el puntero de interfaz antes de enviar y lo usa para todas las actualizaciones de estadísticas; el commit hermano 86e21665d46 corrige el error idéntico en ICMPv4.