Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10639)

En la pila IPv4 nativa de Zephyr, icmpv4_handle_echo_request() en subsys/net/ip/icmpv4.c construye un paquete de respuesta de eco (reply), lo entrega a net_try_send_data(), y luego, si tiene éxito, llama a net_stats_update_icmp_sent(net_pkt_iface(reply)). net_try_send_data() transfiere la propiedad de reply a la ruta TX (net_if_try_queue_tx - net_if_tx - envío L2/controlador, o el hilo asíncrono net_if_tx_thread), que puede desreferenciarlo a refcount 0 y devolver la estructura net_pkt a su slab (net_pkt_unref - k_mem_slab_free) antes de que se ejecute la línea de estadísticas. net_core.c documenta este contrato exacto (’el pkt podría contener basura ya ... no usar pkt después de esa llamada’).<br /> <br /> El net_pkt_iface(reply) posterior al envío, por lo tanto, lee reply-iface de un net_pkt liberado (y posiblemente ya reasignado), una lectura de uso después de liberación; con CONFIG_NET_STATISTICS_PER_INTERFACE la macro de estadísticas incrementa adicionalmente un contador a través de ese valor, es decir, una desreferencia/escritura a través de un puntero obsoleto o de ranura reciclada.<br /> <br /> La ruta es alcanzada sin autenticación por cualquier host remoto que haga ping al dispositivo (net_icmpv4_input - net_icmp_call_ipv4_handlers - icmpv4_handle_echo_request) y está condicionada a CONFIG_NET_STATISTICS_ICMP. El impacto es una lectura probabilística de memoria de paquete reciclada más una posible escritura de puntero salvaje bajo una condición de carrera de tiempo, lo que lleva muy probablemente a estadísticas de interfaz corruptas o a un fallo (DoS) que puede ser activado remotamente.<br /> <br /> El defecto fue introducido en 2019 (v1.14) y está presente hasta la v4.4.0. El cambio complementario en net_icmpv4_send_error() no es un uso después de liberación porque lee net_pkt_iface(orig), el paquete recibido propiedad del llamador, que permanece activo durante el envío. La solución almacena en caché el puntero de interfaz del paquete recibido activo antes de enviar y lo utiliza para las actualizaciones de estadísticas posteriores al envío.