CVE-2026-15923

Funkcja podsystemu Zephyr SDIO sdio_io_rw_extended_helper() w subsys/sd/sdio.c kończy transfery pętlą bajt-I/O, która wykorzystuje size = MIN(remaining, func->cis.max_blk_size) jako krok na iterację. Wartość func->cis.max_blk_size jest dekodowana bezpośrednio z krotki CIS FUNCE karty SDIO w sdio_decode_cis() i nie jest sprawdzana. Kiedy karta zgłasza maksymalny rozmiar bloku wynoszący zero, rozmiar wynosi zawsze 0, pozostały nigdy się nie zmniejsza, a pętla kręci się w nieskończoność.

Dostęp do pętli można uzyskać z publicznego interfejsu API klienta SDIO używanego przez sterowniki, w tym sdio_read_fifo(), sdio_write_fifo() i pomocników odczytu/zapisu rejestrów inkrementacyjnych, z których każdy wchodzi do pętli, trzymając funkcję mutex dla każdej karty->karta->blokada. Karta ogłaszająca max_blk_size == 0 zawiesza zatem na stałe wątek wywołujący podczas pierwszego transferu nieblokowego i nigdy nie zwalnia muteksu, odmawiając obsługi urządzenia peryferyjnego SDIO (i dowolnego podsystemu, takiego jak Wi-Fi, który jest od niego zależny) do czasu zresetowania urządzenia.

Złośliwa wartość musi pochodzić z samej karty SDIO, więc defekt można wykorzystać, gdy wymienne gniazdo kart SDIO/combo umożliwia atakującemu włożenie spreparowanej lub nieprawidłowo działającej karty (wektor ataku fizycznego); na płytach z wlutowanym urządzeniem peryferyjnym SDIO nie ma na to wpływu atakujący. Nie ma to wpływu na bezpieczeństwo pamięci, poufność ani integralność — jedynie trwała utrata dostępności. Poprawka zwraca -EIO, gdy func->cis.max_blk_size wynosi zero, przed wejściem do pętli.