CVE-2026-102715

Każdy host w sieci LAN może wysłać dwa rekordy mDNS i zmusić osobę odpowiadającą do zapisania ich końca



transmitować pakiet.



Tabela ciągów przechowuje każdą nazwę w gnieździe zaokrąglonym w górę do wielokrotności czterech:



```c



/* dodatki/mdns/nxd_mdns.c:11436, 11443, 11447 */



pamięć_len = ((długość_pamięci & 0xFFFFFFFC) + 8) & 0xFFFFFFFF;



...



dł. = *((USHORT*)(p - 2)); /* rozmiar szczeliny, a nie długość łańcucha */



if ((len == długość_pamięci) && ... _nx_mdns_name_match(start, pamięć_ptr, rozmiar_pamięci) ...)



```



Wyszukiwanie, które decyduje, czy przychodząca nazwa jest już zapisana, porównuje zaokrąglony rozmiar szczeliny,



więc nazwy składające się z 12, 13, 14 i 15 znaków dzielą jedno wiadro. Odpowiedź na drugie imię w wiadrze



ze wskaźnikiem do pierwszego, a następnie rekord przenosi ciąg znaków dłuższy o maksymalnie trzy bajty



długość, jaką podał rozmówca. `_nx_mdns_packet_rr_add` (nxd_mdns.c:8911) ma swój jedyny rozmiar



powiązany sprawdza z tej przestarzałej długości, a `_nx_mdns_name_string_encode` zapisuje prawdziwy ciąg.



Wystarczą dwa rekordy PTR, oba zwykłe odpowiedzi mDNS na zapytanie `_http._tcp`, z nazwami właścicieli



których długości mieszczą się w tym samym wiadrze:



```



==87491==BŁĄD: AddressSanitizer: przepełnienie bufora sterty



ZAPISZ rozmiar 1 pod gwintem 0x611000000124 T5

#0 _nx_mdns_name_string_encode addons/mdns/nxd_mdns.c:13096
#1 _nx_mdns_packet_rr_add addons/mdns/nxd_mdns.c:8911


0x611000000124 to 0 bajtów na prawo od obszaru 228-bajtowego



```



Przepełnienie wynosi od jednego do trzech bajtów danych nazw, na które atakujący miał wpływ, poza `nx_packet_data_end`. w



normalna pula, która ląduje w następnym pakiecie w tej samej puli, a nie w czerwonej strefie, więc jest widoczna



efektem jest uszkodzony sąsiedni pakiet lub uszkodzona lista wolnych puli, a nie czysta awaria.



Porównaj rozmiar szczeliny z przechowywaną długością ciągu przed zadeklarowaniem dopasowania lub zachowaj



długość ciągu w nagłówku szczeliny i zwróć ją wywołującemu, aby koder i powiązanie sprawdzili



zgadzam się.