CVE-2026-15893

net_if_ipv6_calc_reachable_time() w subsys/net/ip/net_if.c wyprowadza losowy czas osiągalności ND z ipv6->base_reachable_time jako min_reachable + sys_rand32_get() % (max_reachable - min_reachable), gdzie min_reachable = base/2 i max_reachable = 3*base/2 przy użyciu dzielenia liczb całkowitych. Gdy base_reachable_time wynosi 1, zarówno min_reachable, jak i moduł załamują się, więc funkcja zwraca 0, a funkcja net_if_ipv6_set_reachable_time() przechowuje to 0 w ipv6->reachable_time.

Base_reachable_time jest kontrolowany przez atakującego: handle_ra_input() w subsys/net/ip/ipv6_nbr.c akceptuje pole czasu osiągalności przychodzącego ogłoszenia routera, gdy jest ono niezerowe i <= MAX_REACHABLE_TIME, zatem pojedynczy nieuwierzytelniony, lokalny dla łącza RA posiadający czas osiągalny równy 1 powoduje, że obliczony czas osiągalny wynosi 0. Reklamy routera są domyślnie nieuwierzytelnione i wymagają jedynie przylegania do łącza docelowego.

Gdy później zostanie potwierdzone, że sąsiad jest osiągalny, funkcja net_ipv6_nbr_set_reachable_timer() odczytuje wartość i wykonuje funkcję NET_ASSERT(czas, „Zero osiągalnego limitu czasu!”). W kompilacjach z włączoną opcją CONFIG_ASSERT wyzwala to krytyczną asercję jądra — zdalną odmowę usługi; w przypadku kompilacji bez asercji osiągalny licznik czasu jest uzbrajany w K_MSEC(0) i natychmiast uruchamiany, zmuszając osiągalnych sąsiadów do ciągłego ponownego żądania (STALE), co pogarsza funkcję Neighbor Discovery. Wpływ jest ograniczony do dostępności; nie ma to żadnego wpływu na bezpieczeństwo pamięci, poufność ani integralność.