CVE-2026-64364

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: HID: multitouch: mt_io_flags üzərində sərhəddən kənar bit girişini düzəlt mt_io_flags tək bir unsigned long-dur, lakin mt_process_slot(), mt_release_pending_palms() və mt_release_contacts() onu slot nömrəsi ilə indekslənən hər slot üzrə bit xəritəsi kimi istifadə edir. Həmin slot nömrəsi yalnız td->maxcontacts ilə məhdudlaşır; bu dəyər cihazın ContactCountMaximum feature hesabatından götürülür və 255-ə qədər ola bilər, BITS_PER_LONG ilə deyil. Nəticədə, böyük kontakt sayı elan edən multitouch cihazı set_bit()/clear_bit() funksiyalarının mt_io_flags sözündən kənara çıxmasına və struct mt_device-in qonşu üzvlərinin korlanmasına səbəb olur. Sticky-fingers buraxma taymeri buna çatmağın ən asan yoludur. mt_release_contacts() aşağıdakı kodu icra edir for (i = 0; i < mt->num_slots; i++) clear_bit(i, &td->mt_io_flags); burada num_slots == maxcontacts. maxcontacts təxminən 250 olduqda dövrə td->applications.next ilə üst-üstə düşən bitləri təmizləyir, həmin siyahı başlığını sıfırlayır və dərhal ardınca gələn list_for_each_entry() NULL-a müraciət edir. Kernel taymer (softirq) kontekstindən panic verir. KASAN quruluşunda bu, mt_release_contacts() funksiyasında 0x58 ofsetində null-ptr-deref ilə general protection fault kimi görünür; bu ofset offsetof(struct mt_application, num_received) dəyəridir. Vəziyyət etibarsız USB və ya Bluetooth HID multitouch cihazından əlçatandır; yerli imtiyazlar tələb olunmur. Hər slot üzrə aktiv vəziyyəti maxcontacts üçün ölçülən ayrıca ayrılmış bit xəritəsində saxla — bu, artıq pending_palm_slots üçün istifadə olunan eyni naxışdır — və mt_io_flags-də yalnız MT_IO_FLAGS_RUNNING saxla. İki "mt_io_flags & MT_IO_SLOTS_MASK" silahlanma yoxlaması bitmap_empty(td->active_slots, td->maxcontacts) ilə əvəz olunur. MT_IO_FLAGS_RUNNING-i yenidən bit 0-a köçür. Aşağı baytı slot bitləri üçün boşaltmaq məqsədilə həmin commit tərəfindən o, bit 32-yə qaldırılmışdı; slot bitləri getdiyi üçün yenidən bit 0-a sığır, bu da onu 32-bitdə unsigned long daxilində saxlayır.