Vulnerabilidad en zephyr de zephyrproject (CVE-2026-10665)

En el subsistema WireGuard de Zephyr (subsys/net/lib/wireguard), wg_process_data_message() en wg_crypto.c linealiza una carga útil de datos de transporte entrante en un búfer de grupo fijo de CONFIG_WIREGUARD_BUF_LEN bytes antes del descifrado. La llamada net_buf_linearize(buf -> data, data_len, pkt -> buffer, ..., data_len) pasó el data_len derivado del atacante como la capacidad de destino y la longitud de copia, anulando el límite interno de la función len = min(len, dst_len). data_len se deriva de la longitud del datagrama UDP recibido y solo está limitado inferiormente por wg_ctrl_recv() (sin límite superior). Cuando data_len excede CONFIG_WIREGUARD_BUF_LEN - por ejemplo, cuando la longitud del búfer se reduce por debajo de la MTU del enlace, en enlaces con MTU superior al tamaño del búfer, o a través de fragmentos IPv4/IPv6 reensamblados que lo exceden - el memcpy subyacente escribe más allá del final del búfer de grupo, una escritura fuera de límites (CWE-787). El desbordamiento ocurre antes de la verificación de autenticación Poly1305, por lo que solo requiere un índice de sesión de receptor válido en lugar de un autenticador válido, y es alcanzable por un par malicioso o comprometido (o un atacante en la ruta que controla una sesión establecida) a través de la red, lo que produce corrupción de memoria remota y como mínimo una denegación de servicio confiable. El defecto estaba presente en la implementación de WireGuard distribuida en Zephyr 4.4.0. La solución añade un rechazo explícito de data_len > CONFIG_WIREGUARD_BUF_LEN y corrige la llamada de linealización para pasar net_buf_max_len(buf) como la capacidad de destino.