CVE-2026-102720

Serwer DHCP lub dowolna osoba w sieci LAN, która jako pierwsza odpowie na polecenie DISCOVER, może sprawić, że klient przeczyta o:



kilobajt po końcu odebranej wiadomości.



Opcja walk utrzymuje wskaźnik i przesunięcie w kroku, a jedyne powiązane sprawdzenie wykorzystuje przesunięcie:



```c



/* dodatki/dhcp/nxd_dhcp_client.c:7538, 7572 */



podczas gdy (i < długość - 1)



{

...
rozmiar = *(++dane); /* dane przesuwają się o 1: typ -> bajt długości */
dane += rozmiar + 1; /* dane przesuwają rozmiar + 1 więcej */
i += rozmiar + 1; /* przesuwam tylko rozmiar + 1 */


}



```



Opcja TLV zajmuje rozmiar + 2 bajty. „dane” są przesuwane łącznie o rozmiar + 2, „i” o rozmiar + 1, więc



przesunięcie spada o jeden bajt za rzeczywistą pozycją odczytu dla każdej opcji, którą pomija przechodzenie. po



wystarczająco pominiętych opcji, sprawdzenie `i < długość - 1` nadal jest ważne, podczas gdy `dane` są już zakończone



wiadomości, a późniejszy odczyt bajtów typu i długości pochodzi z tego, co następuje.



Wystarczy pojedyncza OFERTA zawierająca wiele opcji możliwych do pominięcia:



```



BŁĄD: AddressSanitizer: przepełnienie bufora sterty



ODCZYTAJ rozmiar 1 w 0x61b000000794 gwint T5

#0 _nx_dhcp_search_buffer addons/dhcp/nxd_dhcp_client.c:7541
#1 _nx_dhcp_get_option_value addons/dhcp/nxd_dhcp_client.c:7082


0x61b000000794 znajduje się 164 bajty na prawo od regionu 1648-bajtowego



```



Dobrze sformułowana OFERTA tą samą ścieżką jest obsługiwana normalnie, klient rejestruje ofertę i



przechodzi do ŻĄDANIA, więc różnica polega raczej na układzie opcji niż na uprzęży.



Odczyt przebiega w wątku klienta DHCP, gdy klient jest jeszcze nieskonfigurowany, więc dzieje się dalej



każdy rozruch w zasięgu wrogiego obiektu odpowiadającego DHCP. Odczytane wartości służą do konfiguracji



interfejs, w ten sposób ujawnione bajty stają się obserwowalne.



Przesuń „i” o rozmiar + 2 lub wyprowadź granicę z „danych”, zamiast utrzymywać drugi licznik.