Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10640)

Las rutas de envío de Neighbor Discovery IPv6 de Zephyr (net_ipv6_send_na, net_ipv6_send_ns, net_ipv6_send_rs en subsys/net/ip/ipv6_nbr.c) actualizaban las estadísticas de ICMP enviado por interfaz llamando a net_pkt_iface(pkt) después de que net_send_data(pkt) ya había retornado exitosamente. En la ruta de éxito, la pila de red posee y libera la referencia del paquete (el envío del L2/controlador la desreferencia, p. ej., ethernet_send - net_pkt_unref), así, para un paquete recién asignado con refcount 1, el bloque slab de net_pkt puede ser liberado antes de que se ejecute la línea de estadísticas (sincrónicamente cuando no hay un hilo de cola TX configurado, o a través de un hilo TX concurrente de lo contrario).<br /> <br /> La subsiguiente net_pkt_iface(pkt) lee pkt-iface del bloque slab liberado, y con CONFIG_NET_STATISTICS_PER_INTERFACE habilitado, ese puntero cargado es desreferenciado para incrementar iface-stats.icmp.sent, un uso después de liberación (CWE-416). Si el bloque slab fue reasignado mientras tanto, la lectura/incremento apunta a memoria no relacionada o influenciada por el atacante, resultando en estadísticas corruptas, una falla/caída (denegación de servicio), o potencial corrupción de memoria limitada.<br /> <br /> La ruta vulnerable de Neighbor Advertisement es alcanzable por cualquier nodo en el enlace no autenticado simplemente enviando Solicitudes de Vecino ICMPv6 a un nodo Zephyr con IPv6 nativo habilitado (handle_ns_input - net_ipv6_send_na).<br /> <br /> Afectado desde v3.3.0 hasta v4.4.0; la corrección utiliza el argumento iface ya disponible en lugar de tocar el paquete enviado. Las configuraciones sin estadísticas por interfaz desreferencian solo un contador global y no se ven afectadas por el aspecto de seguridad de la memoria.