Vulnerabilidad en Zephyr de zephyrproject-rtos (CVE-2026-5589)

Un desbordamiento negativo de entero en bt_mesh_sol_recv() en el manejo de solicitudes de Bluetooth Mesh (subsys/bluetooth/mesh/solicitation.c) conduce a una escritura fuera de límites. Cuando CONFIG_BT_MESH_OD_PRIV_PROXY_SRV está habilitado, la función analiza PDUs de solicitud de cargas útiles de publicidad BLE en bruto. El bucle de análisis de AD lee un byte de longitud controlado por el atacante (reported_len) y calcula reported_len - 3 sin verificar que reported_len >= 3. Cuando reported_len es menor que 3, la resta se realiza en aritmética de enteros con signo y produce un valor negativo que elude la protección de longitud y luego se convierte implícitamente a un size_t muy grande cuando se pasa a net_buf_simple_pull_mem(). En compilaciones sin aserciones, esto envuelve la longitud del búfer y avanza el puntero de datos mucho más allá de los límites, por lo que las lecturas posteriores desreferencian memoria no válida. Un dispositivo BLE cercano puede activar esto con un anuncio no conectable que lleva una estructura AD UUID16 y un byte de longitud manipulado, sin necesidad de emparejamiento o asociación previa, lo que podría conducir a denegación de servicio o ejecución de código arbitrario.