>> освобождённый на стеке - всегда после вершины
> Не всегда.

Это следует из определения. Цитирую System V Application Binary Interface AMD64 Architecture Processor Supplement

3.2.2 The Stack Frame
The stack pointer, %rsp, always points to the end of the latest allocated stack frame.

> Вот пример: какой-то код фызвал функцию, которая разместила буфер на
> стеке, пошаманила там что-то и вернула некую структуру в которой одно
> из полей содержит указатель на этот буфер.

В данный момент буфер в стеке освобождён, записи пока нет.

> Вызывающий код про эту структуру даже не курсе, он просто передаёт её
> как параметр другой функции и та вдруг осуществляет доступ по переданному
> указателю куда-то себе в стек, где лежат уже другие данные.

Здесь стек уже занят (под другой буфер). Спасибо, теперь понятно, где я ошибся. В вопросах фигурировало "всегда" и мне следовало бы конкретизировать "в пределах функции", что бы не возникло разночтений. Я понял "уже освобождённый" как "только что освобождённый".

Вот такой код может уронить приложение, поскольку страница вернулась системе:
free(p);
if (*p);

>> Этот буфер не освобождён и ошибка другая.
> желательно помнить контекст - тема про переполнение буфера, так что ошибка будет
> сабжевая

Тему сменили на обсуждение использования после освобождения, и я отвечал на вполне конкретный вопрос про освобождённый стек. Размер записанных данных в вопросе не оговаривается, потому я его вывел из условия "освобождённый" - то есть не пересекает вершину.