CVE-2026-17051

Sterownik Intel SEDI IPM (międzyprocesorowa skrzynka pocztowa) w sterownikach/ipm/ipm_sedi.c obsługuje przerwanie wiadomości przychodzącej w ipm_event_dispose(). Odczytał zapisany rejestr dzwonka do drzwi, wyodrębnił długość ładunku za pomocą IPC_HEADER_GET_LENGTH() i przekazał tę długość bezpośrednio do sedi_ipc_read_msg(), aby skopiować wiadomość do struktury ipm_sedi_context.incoming_data_buf, bez sprawdzania jej z rozmiarem bufora. Pole długości dzwonka ma szerokość 10 bitów (IPC_HEADER_LENGTH_MASK to 0x03FF), więc może zakodować do 1023 bajtów, natomiast incoming_data_buf to IPC_DATA_LEN_MAX (128) bajtów. Sprawdzanie granic w bazowej funkcji HAL sedi_ipc_read_msg() to DBG_CHECK, które kompiluje się, chyba że ustawiono CONFIG_DEBUG, więc w obrazie produkcyjnym nie pozostało żadne sprawdzenie.

Rejestr dzwonka do drzwi jest zapisywany przez procesor równorzędny po drugiej stronie łącza IPC — w przypadku obiektów docelowych intel_ish_5_* sterownik ISH procesora hosta, do którego można uzyskać dostęp poprzez okno rejestru mapowanego na pamięć urządzenia. Oprogramowanie po stronie hosta z dostępem na poziomie sterownika lub surowym dostępem do BAR może zatem ustawić długość do 1023 i spowodować, że procedura obsługi przerwań będzie kopiować daleko poza bufor docelowy. Ścieżka, której dotyczy problem, wymaga, aby aplikacja zarejestrowała wywołanie zwrotne odbioru IPM za pośrednictwem ipm_register_callback(), co jest normalnym trybem użytkowania sterownika.

Rezultatem jest zapis poza granicami do 895 bajtów w pamięci statycznej (.bss), wykonywany w kontekście przerwań. Przepełnienie najpierw blokuje resztę struktury ipm_sedi_context — w tym k_sem i k_mutex używane przez ścieżkę transmisji, której kolejki oczekiwania zawierają wskaźniki list samoodwołujących się — a następnie sąsiadujące dane statyczne, powodując uszkodzenie struktury danych jądra i prymitywną awarię. Przepełnione bajty są odczytywane z rejestrów znajdujących się za oknem komunikatu, których część jest programowalna równorzędnie. Poprawka odrzuca każdy dzwonek do drzwi, którego zakodowana długość przekracza IPC_DATA_LEN_MAX, logując go i potwierdzając dzwonek do drzwi, aby partner nie czekał.