Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10664)

El gestor de eventos de ahorro de energía del controlador Wi-Fi nRF70 nrf_wifi_event_proc_get_power_save_info() en drivers/wifi/nrf_wifi/src/wifi_mgmt.c copió entradas de flujo TWT (Target Wake Time) de un evento nrf_wifi_umac_event_power_save_info en el array de tamaño fijo twt_flows[WIFI_MAX_TWT_FLOWS] (de 8 elementos) de una estructura wifi_ps_config proporcionada por el llamador, iterando sobre num_twt_flows proporcionado por el evento sin validarlo contra WIFI_MAX_TWT_FLOWS o verificar event_len. Cuando num_twt_flows excede 8, el gestor escribe más allá del array de destino (que típicamente está en la pila del llamador, p. ej. el comando de shell wifi ps) -- una escritura fuera de límites de entradas TWT de ~40 bytes -- y lee twt_flow_info[i] más allá del búfer del evento. El evento es entregado por el firmware del coprocesador nRF70 en respuesta a un GET de ahorro de energía iniciado por el host, por lo que alcanzar el desbordamiento requiere que el firmware emita un evento malformado o fuera de rango; el límite de confianza es de host a coprocesador de confianza en lugar de una escritura directa de AP remoto, con la influencia por aire en el recuento de flujos siendo indirecta y limitada por el espacio de ID de flujo TWT de 3 bits. Afectado: compilaciones con CONFIG_NRF70_STA_MODE en versiones hasta la v4.4.0. La corrección rechaza eventos con num_twt_flows > WIFI_MAX_TWT_FLOWS o con event_len más corto que las entradas declaradas, y añade una verificación de NULL en el búfer del llamador.