CVE-2026-102714

`_nx_icmpv6_validate_options()` skanuje obszar opcji za pomocą `while (długość > 2)` (`common/src/nx_icmpv6_validate_options.c:79`). Obszar, którego rozmiar pozostawia jedno- lub dwubajtową resztę, opuszcza pętlę z niezbadanym ogonem; reszta nie jest ujemna, więc funkcja zwraca `NX_SUCCESS`. Odrzucenie o zerowej długości nigdy nie powoduje zobaczenia tych bajtów.



Następnie każdy konsument ponownie przechodzi przez ten sam obszar, odczytując dwubajtowy nagłówek opcji na pozostałości i odejmując `nx_icmpv6_option_length << 3` bez sprawdzania zera i bez sprawdzania pozostałej długości. Następują trzy wyniki, wybrane na podstawie bajtów kontrolowanych przez atakującego.



**Bajt o zerowej długości.** Walker odejmuje zero i przesuwa zero. Wszystkie cztery procedury obsługi zapętlają się w nieskończoność — `_nx_icmpv6_process_ra` (`nx_icmpv6_process_ra.c:245, :528`), `_nx_icmpv6_process_ns` (`:251, :329`), `_nx_icmpv6_process_na` (`:147, :156`) i `_nx_icmpv6_process_redirect` (`:247, :350`). Przechodzenie odbywa się w wątku IP, który jest wątkiem o najwyższym priorytecie i nie ustępuje wewnątrz pętli, więc system zatrzymuje się do czasu zresetowania watchdoga i po każdym z nich możliwe jest odtworzenie ramki.



**Bajt o długości niezerowej na krótkiej reszcie.** Niedopełnienie trzech liczników bez znaku — `2 - 8` staje się `0xFFFFFFFA` — i przepływ jest kontynuowany obok bufora pakietu, odczytując aż do wystąpienia błędu lub osiągnięcia bajtu o zerowej długości i zawieszenia. W tym przypadku licznik ogłoszeń routera jest podpisany i wychodzi prawidłowo.



**Pozostałość jednobajtowa.** Walker odczytuje dwubajtowy nagłówek opcji, nadczytując jeden bajt.



Podczas niekontrolowanego spaceru, zbędne bajty analizowane jako opcja adresu warstwy łącza są kopiowane do sąsiadującej pamięci podręcznej (`nx_icmpv6_process_ns.c:280, :293`), a następnie wykorzystywane jako docelowy adres MAC dla ramek do tego sąsiada, umieszczając pamięć pozapakietową na łączu. Potwierdzone przez oględziny, nie powielane.