CVE-2026-75084

Sterownik CC1200 IEEE 802.15.4 sub-GHz pobiera długość pakietu PHY z pierwszego bajtu RX FIFO radia w funkcji get_packet_length() i sprawdza ją w funkcji Verify_rxfifo_validity() (drivers/ieee802154/ieee802154_cc1200.c). Ta walidacja wymuszała jedynie dolną granicę (pkt_len <3); jego druga klauzula odrzuca FIFO, który zawiera więcej bajtów niż zadeklarowano i dlatego nigdy nie ogranicza dużych wartości. Ponieważ sterownik konfiguruje radio dla zmiennej długości pakietu z PKT_LEN = 0xFF, bajt długości jest wartością bezprzewodową 0-255, która osiągnęła net_pkt_rx_alloc_with_buffer() i następująca po nim seria SPI została odczytana bez zapięcia.

Nieuwierzytelniony atakujący w zasięgu radiowym może przesłać ramkę o długości bajtu przekraczającej maksymalnie 127 bajtów IEEE 802.15.4, podczas gdy 128-bajtowy RX FIFO chipa nie został przepełniony, więc wstępne sprawdzenie RX_FIFO_ERROR sterownika nie zostanie uruchomione. Osiągnięcie tego stanu zależy od ramkowania RF i taktowania, ponieważ wątek RX jest sterowany sygnałem PKT_SYNC_RXTX i może próbkować FIFO przed ukończeniem pakietu; nie jest wymagane parowanie, uwierzytelnianie ani interakcja użytkownika.

Przy domyślnych wartościach CONFIG_NET_BUF_FIXED_DATA_SIZE i CONFIG_NET_BUF_DATA_SIZE=128 alokacja większa niż jeden fragment jest realizowana przez łańcuch fragmentów, ale funkcja read_rxfifo_content() wykonuje pojedynczą serię SPI pkt_len bajtów do buf->data pierwszego fragmentu, a następnie wywołuje funkcję net_buf_add() o tej samej długości. Dlatego długość powyżej 128 zapisuje do 127 bajtów poza końcem fragmentu w sąsiadującej puli rx_bufs i pozostawia net_buf, którego długość przekracza jego pojemność. Przepełnione bajty to dane wyjściowe z niedomiarem FIFO, a nie dane wybrane przez atakującego, więc praktycznym skutkiem jest uszkodzenie puli buforów sieciowych i awarie, a nie kontrolowany zapis. Dotyczy to tylko kompilacji, które umożliwiają CONFIG_IEEE802154_CC1200 z podłączonym radiem CC1200.