CVE-2026-92156

W frameworku F´ (F Prime) od wersji 4.1.0 do 4.2.0 wysyłka portów wyjściowych Svc::GenericHub jest podatna, ponieważ zdeserializowane pole portu jest przekazywane do serialOut_out, bufferOut_out, eventOut_out lub tlmOut_out bez jawnego sprawdzenia zakresu. Gdy zdalny pakiet huba dostarczy indeks portu spoza skonfigurowanej tablicy portów wyjściowych, kompilacje z włączonymi asercjami przerywają działanie, a kompilacje bez asercji mogą uzyskać dostęp poza zakres tablicy portów wyjściowych, uszkodzić pamięć sterty i potencjalnie umożliwić zdalne wykonanie kodu.

W F´ (F Prime) przed wersją 4.3.0 walidacja zakresu w Svc::FileDownlink SendPartial jest podatna, ponieważ suma z przepełnieniem omija sprawdzenie zakresu, staje się m_endOffset i pozostawia m_byteOffset większy niż zawinięty koniec. Gdy istniejący plik źródłowy jest większy niż podany startOffset, a długość powoduje zawinięcie sumy U32, pierwsza wysyłka pakietu danych osiąga FW_ASSERT i przerywa lub resetuje proces.

W F´ (F Prime) przed wersją 4.3.0 procedura Svc::TlmPacketizer TlmRecv_handler kopiuje val.getSize bajtów do stałego slotu entry.channelSize bez sprawdzenia, czy wartość mieści się w rozmiarze. Gdy aktualizacja telemetrii dla skonfigurowanego kanału niesie większą wartość, dochodzi do nadpisania sąsiednich pól kanału i emisji uszkodzonej telemetrii.

F´ (F Prime) przed wersją 4.2.0 posiada podatność w walidacji zapisu stosu dyrektywy STORE w Svc::FpySequencer. Sprawdzenie granic dodaje kontrolowany przez atakującego offset i rozmiar przed memcpy, co pozwala na przepełnienie liczbowe całkowite i sprawienie, że adres spoza zakresu wydaje się prawidłowy.

W F´ (F Prime) przed wersją 4.3.0 walidacja zakresu w Svc::FileDownlink SendPartial jest podatna, ponieważ niesprawdzona arytmetyka startOffset + length omija sprawdzenie zakresu i zapisuje zawinięty m_endOffset niespójny z m_byteOffset. Gdy plik źródłowy jest większy niż poprawny startOffset, a długość powoduje zawinięcie sumy U32 poniżej rozmiaru pliku, pierwsze przejście pakietu danych osiąga FW_ASSERT i przerywa lub resetuje proces.

F´ (F Prime) przed wersją 4.2.0 posiada podatność w deserializacji Fw::FilePacket używanego przez Svc::FileUplink. Deserializacja nagłówka rzutuje bajt na enum Type bez walidacji zakresu, a FilePacket::fromSerialBuffer osiąga domyślny FW_ASSERT, gdy pakiet sieciowy zawiera nieznany bajt typu.

F´ (F Prime) przed wersją 4.2.0 posiada podatność w walidacji offsetu i rozmiaru w Svc::FileUplink handleDataPacket. Komponent sprawdza byteOffset plus dataSize z użyciem arytmetyki U32 z zawijaniem, a następnie wykonuje seek do dużego, kontrolowanego przez atakującego offsetu przed zapisem.

F´ (F Prime) przed wersją 4.2.0 posiada podatność w deserializacji Svc::GenericHub fromBufferDriver_handler. Handler odbioru używa FW_ASSERT dla statusu deserializacji i walidacji typu pod wpływem zewnętrznym oraz pozwala na niedomiar przy odejmowaniu rozmiaru ładunku komendy.

F´ (F Prime) przed wersją 4.3.0 ma podatność w Svc::FileUplink, gdzie ścieżka docelowa z pakietu StartPacket jest kopiowana i otwierana do zapisu bez kanonizacji lub ograniczenia do katalogu uploadu. Pozwala to na tworzenie lub nadpisywanie plików w wybranych lokalizacjach.

F´ (F Prime) przed wersją 4.2.0 ma podatność w Svc::Ccsds::SpacePacketDeframer, gdzie handler traktuje minimalną długość pakietu jako FW_ASSERT zamiast odrzucać bufor. Gdy ramka telekomendy pozostawia sześć lub mniej bajtów, asercja powoduje przerwanie lub reset procesu, prowadząc do odmowy usługi.