CVE-2026-63896

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: usb: gadget: composite: WebUSB GET_URL emalında tam ədəd aşağı daşmasının düzəldilməsi composite_setup() funksiyasındakı WebUSB GET_URL emalçısı landing_page_length dəyərini hostun verdiyi wLength-ə uyğunlaşdırmaq üçün aşağıdakı kimi daraldır: landing_page_length = w_length - WEBUSB_URL_DESCRIPTOR_HEADER_LENGTH + landing_page_offset; Əgər wLength WEBUSB_URL_DESCRIPTOR_HEADER_LENGTH-dən kiçikdirsə, işarəsiz çıxma dövr edir və sonrakı memcpy(url_descriptor->URL, cdev->landing_page + landing_page_offset, landing_page_length - landing_page_offset); çağırışı cdev->landing_page-dən cdev->req->buf-a UINT_MAX-a yaxın bayt kopyalayır. KASAN kmalloc-2k gadget_info ayrılmasında composite_setup daxilində slab hüdudlarından kənara çıxma aşkar edir, FORTIFY_SOURCE isə memcpy-ni url_descriptor->URL (ölçüsü 252) sahəsinə 4294967293 baytlıq sahəni aşan yazma kimi tutur. USB host bunu webusb/use=1 və konfiqurasiya edilmiş landingPage olan istənilən gadget-a qarşı tək bir SETUP paketi ilə tetikləyə bilər. Kiçik wLength halını hesablamadan əvvəl emal edin: host URL deskriptorunun başlığından az bayt tələb etdikdə yalnız başlıq mənalıdır və heç bir URL baytı kopyalanmamalıdır. landing_page_length dəyərinin landing_page_offset-ə təyin edilməsi mövcud memcpy-ni heç bir əməliyyat yerinə yetirməyən hala gətirir və bütün daha böyük wLength dəyərləri üçün hosta qaytarılan deskriptoru dəyişməz saxlayır.