CVE-2026-15891

Funkcja obsługi klienta MQTT-SN Process_ping() w subsys/net/lib/mqtt_sn/mqtt_sn.c usuwa rekord bramy po wyczerpaniu się ponownych prób PINGREQ. Wywołał SYS_SLIST_PEEK_HEAD_CONTAINER(&client->gateways, gw, next), ale odrzucił wynik. To makro jest czystym wyrażeniem, które nie jest przypisane do gw, więc gw zachowało swój inicjator NULL niezależnie od zawartości listy.

Następnie kod dereferuje NULL gw (gw->gw_id) i przekazuje go do mqtt_sn_gw_destroy(), osiągając k_mem_slab_free(&gateways, NULL). Przy włączonej opcji CONFIG_MEM_SLAB_POINTER_VALIDATE wyzwala to funkcję k_panic(); w konfiguracji domyślnej wykonuje zapis poprzez wskaźnik NULL ((char)mem = płyta->free_list;) i uszkadza listę wolnych płyt. Rezultatem jest awaria/panika jądra lub, w systemach docelowych, w których adres 0 jest zapisywalny, ciche uszkodzenie alokatora pamięci.

Podatna gałąź działa za każdym razem, gdy podłączona brama MQTT-SN nie odpowiada na komunikaty Keepalive PINGREQ przez skonfigurowaną liczbę ponownych prób. Stan ten jest kontrolowany przez zdalnego partnera: złośliwą lub przejętą bramę albo atakującego znajdującego się na ścieżce/sąsiadującego, który reklamuje się jako brama, a następnie przestaje odpowiadać (lub blokuje adresy PINGRESP prawdziwej bramy). MQTT-SN działa poprzez UDP i nie jest wymagane żadne uwierzytelnianie.

Skutkiem jest zdalnie wyzwalana odmowa usługi (dostępność) klienta MQTT-SN, którego dotyczy problem; nie zapisano żadnych danych kontrolowanych przez osobę atakującą. Proces_advertise() do usuwania rodzeństwa używa SYS_SLIST_FOR_EACH_CONTAINER_SAFE i nie ma to na niego wpływu. Poprawka przypisuje wartość zwracaną przez makro do gw.