CVE-2026-102716 in ThreadX
Sumário
de VulDB • 29/09/2026
Um cliente não autenticado pode esgotar o pool de pacotes do servidor RTSP com algumas dezenas de requisições que carregam um cabeçalho Session que o parser não consegue converter.
O branch da sessão retorna o código de erro bruto do NetX em vez de um código de status RTSP:
```c /* addons/rtsp/nx_rtsp_server.c:2754 */ status = _nx_utility_string_to_uint(field_value_ptr, field_value_length, &session_id); if (status) {
return(status); /* NX_INVALID_PARAMETERS / NX_SIZE_ERROR / NX_OVERFLOW */ } ```
Todos os outros branches da mesma função mapeiam sua falha para um status RTSP primeiro. O branch CSeq, dezoito linhas antes, faz exatamente isso (a linha 2736 retorna NX_RTSP_STATUS_CODE_BAD_REQUEST). O código bruto então alcança `_nx_rtsp_server_error_response_send` (nx_rtsp_server.c:1234), que não o reconhece, segue um caminho que retorna sem liberar o pacote de resposta já alocado, e o bloco nunca volta para o pool.
Seis requisições com um cabeçalho Session vazio contra um pool de 22 pacotes: ``` valid requests: after request 6: pool available = 21, AFTER = 22 / 22 malformed requests: after request 6: pool available = 16, AFTER = 17 / 22 ```
Um bloco por requisição, não retornado quando o cliente desconecta. Vinte e seis requisições levam o pool a zero e o servidor começa a falhar nas alocações, após as quais ele atende ninguém. Se o pool for compartilhado com o resto da aplicação, como ocorre na amostra fornecida, o restante da pilha para junto com ele.
Converta a falha de `_nx_utility_string_to_uint` no branch Session em NX_RTSP_STATUS_CODE_BAD_REQUEST da mesma forma que o branch CSeq faz, e libere o pacote de resposta em todos os caminhos de saída de `_nx_rtsp_server_error_response_send`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.