CVE-2026-102721

Serwer TFTP, który odpowiada krótkim pakietem ERROR, powoduje, że klient odczytuje do 64 bajtów poza



otrzymany datagram.



Każda ścieżka odbiorcza sprawdza tylko, czy datagram ma długość co najmniej czterech bajtów (nxd_tftp_client.c:1229,



1521, 1984). Gdy kod operacji to NX_TFTP_CODE_ERROR, ciąg komunikatu jest kopiowany za pomocą pętli, której



jedyne ograniczenia to bufor docelowy i bajt NUL:



```c



/* dodatki/tftp/nxd_tftp_client.c:1769 */



for (i = 0; (i < (sizeof(tftp_client_ptr -> nx_tftp_client_error_string) - 1)) && (*buffer_ptr); i++)



```



Nic nie porównuje `buffer_ptr` z `nx_packet_append_ptr`. Pakiet ERROR, który niesie ze sobą nr



zakończenie NUL, które serwer całkowicie kontroluje, opuszcza pętlę na końcu pakietu aż do



zdarza się, że osiąga bajt zerowy lub wypełnia 64-bajtowe miejsce docelowe.



```



BŁĄD: AddressSanitizer: przepełnienie bufora sterty



ODCZYTAJ rozmiar 1 przy 0x60d0000000c8 gwint T4

#0 _nxd_tftp_client_file_read addons/tftp/nxd_tftp_client.c:1769


0x60d0000000c8 to 0 bajtów na prawo od obszaru 136-bajtowego



```



Otwarta ścieżka ma tę samą pętlę w :1327 i raportuje w ten sam sposób. To, co jest przeczytane, ląduje w



`nx_tftp_client_error_string`, który aplikacja ma wyświetlić lub zarejestrować, więc sąsiaduje



Pamięć puli pakietów kończy się na tym, co urządzenie zrobi z tekstem błędu.



Dodaj `(buffer_ptr < package_ptr -> nx_packet_append_ptr)` do warunku pętli we wszystkich trzech ścieżkach.