CVE-2026-102722

Zapis poza zakresem przez pamięć podręczną komunikatów TLS 1.3 w NetX Duo w Eclipse ThreadX NetX Duo 6.5.1.202602 pozwala, aby komunikat większy niż pamięć podręczna zapisywał poza nią i dalej w blok kontroli sesji, który zawiera wskaźniki. Złośliwy lub skompromitowany serwer może spowodować, że klient TLS 1.3 wygeneruje taki komunikat przed zakończeniem uwierzytelniania certyfikatu, więc do osiągnięcia tego nie jest potrzebny certyfikat serwera.

W Eclipse ThreadX NetX Duo w wersjach od 6.0 do 6.5.2.202603a, zbudowanych z obsługą surowych gniazd BSD i IPv6, ścieżka wysyłania surowego IPv6 używa wpisu tabeli destinacji, który dodaje, bez sprawdzenia, czy dodanie się powiodło. Gdy tabela destinacji jest pełna, a cel poza łączem jest osiągany przez router domyślny z nieznanym wpisem w pamięci podręcznej sąsiadów, wysyłanie przez surowe gniazdo IPv6 z dołączonym nagłówkiem powoduje dereferencję wskaźnika NULL.

W Eclipse ThreadX NetX Duo w wersjach od 6.0 do 6.5.2.202603a serwer NetX Secure DTLS przydziela sesję z ustalonej puli sesji dla pierwszego datagramu z dowolnego nierozpoznanego adresu i portu, przed wymianą cookie, i nigdy nie zwalnia sesji, której uzgadnianie utknie. Zdalny, nieuwierzytelniony atakujący może wyczerpać pulę jednym sfałszowanym datagramem na źródło.

W Eclipse ThreadX NetX Duo w wersjach od 6.4.5.202504 do 6.5.2.202603a, zbudowanych z wykrywaniem MTU ścieżki IPv6, handler ICMPv6 Packet Too Big używa wpisu tabeli docelowej, który dodaje, bez sprawdzenia, czy dodanie się powiodło. Nadawca w sieci może wypełnić tabelę docelową komunikatami Packet Too Big cytującymi nowe cele, po czym następna wiadomość powoduje dereferencję wskaźnika NULL przez wątek pomocniczy IP.

W Eclipse ThreadX NetX Duo w wersjach od 6.0 do 6.5.2.202603 serwer DTLS w NetX Secure nigdy nie porównuje cookie zwróconego przez klienta z tym, które wydał, i traktuje każde niepuste cookie jako zweryfikowane. Zdalny atakujący może zmusić serwer do wysłania pełnej sekwencji uzgadniania, kilku kilobajtów, na sfałszowany adres źródłowy, wykorzystując go do wzmocnionej refleksji ruchu na stronę trzecią.

W Eclipse ThreadX NetX Duo (do wersji 6.5.2.202603) parser X.509 w NetX Secure akceptuje certyfikat, którego podpis jest pustym BIT STRING, i zapisuje długość podpisu 0xFFFFFFFF. Zdalny peer może przedstawić taki certyfikat podczas uzgadniania TLS, przed uwierzytelnieniem, i zmusić urządzenie do odczytu daleko poza buforem certyfikatu podczas weryfikacji podpisu, co prawdopodobnie spowoduje awarię.

W bibliotece Eclipse ThreadX NetX Duo (wersje 6.0–6.5.2.202603a) parser ServerHello w kliencie TLS oraz parser HelloVerifyRequest w kliencie DTLS odczytują pola przed sprawdzeniem, czy komunikat jest wystarczająco długi. Złośliwy serwer lub atakujący w ścieżce może wymusić odczyt do trzech bajtów poza granicą komunikatu handshake, co na systemach z ochroną pamięci może spowodować awarię klienta.

W serwerze FTP biblioteki Eclipse ThreadX NetX Duo (wersje 6.0 do 6.5.2.202603a) pierwsze połączenie na port danych w trybie pasywnym jest akceptowane bez sprawdzenia, czy pochodzi od klienta, który zażądał trybu pasywnego. Nieuwierzytelniony atakujący w sieci, który połączy się pierwszy na przewidywalny port, odbiera plik pobierany przez uwierzytelnionego użytkownika lub dostarcza zawartość pliku, który użytkownik wysyła.

W Eclipse ThreadX NetX Duo (wersje 6.0–6.5.2.202603a) kod PPP IPCP przetwarza Configure-Nak od peera bez walidacji długości poszczególnych opcji. Złośliwy peer PPP może zawiesić wątek PPP na czas nieokreślony opcją o zerowej długości, doprowadzając do zerwania łącza, oraz odczytać do czterech bajtów pamięci bufora pakietu na wymianę przy użyciu opcji krótkiego adresu.

W Eclipse ThreadX NetX Duo (wersje 6.4.0–6.5.2.202603a) zbudowanym z obsługą VLAN i SRP parser MSRP używa długości listy atrybutów z odebranej ramki bez porównania jej z długością pakietu. Nieuwierzytelniona stacja w tym samym segmencie warstwy 2 może wysłać krótką ramkę MSRP deklarującą długą listę i wymusić odczyt daleko poza odebranym pakietem, powodując awarię wątku MRP na systemach z ochroną pamięci.