CVE-2026-64449

Linux kernelində aşağıdakı zəiflik aradan qaldırılıb: staging: vme_user: slave oxuma/yazmanı kern_buf ölçüsü ilə məhdudlaşdır SLAVE yolundakı köməkçi funksiyalar buffer_to_user() və buffer_from_user() 'count' baytı sabit ölçülü kern_buf-a (size_buf == PCI_BUF_SIZE == 0x20000, 128 KiB) kopyalayır, *ppos-u ofset kimi istifadə edir və *ppos + count cəmini size_buf-a qarşı məhdudlaşdırmır. vme_user_write()/vme_user_read() yalnız count-u VME pəncərəsinin ölçüsü ilə (image_size = vme_get_size(resource)) məhdudlaşdırır; VME_SET_SLAVE bunu istifadəçi tərəfindən verilən slave.size-dən təyin edir və bu dəyər VME ünvan məkanına (VME_A32_MAX = 4 GiB-ə qədər) qarşı yoxlanılır, PCI_BUF_SIZE-a qarşı yox. Pəncərə 128 KiB-dən böyük olduqda write()/read() kern_buf ayrılmasından kənara kopyalayır. Hər iki köməkçi funksiyada count-u size_buf-a qarşı məhdudlaşdır, *ppos artıq buferin sonunda və ya ondan sonradırsa erkən qayıtma ilə. Burada *ppos >= 0-dır (çağıran mənfi ofsetləri rədd edir), ona görə size_buf - *ppos sarıla bilməz. Bu, MASTER yolundakı resource_to_user() / resource_from_user() köməkçilərindəki mövcud məhdudlaşdırmaya uyğundur və buferin sonunda qısa ötürmə ilə bağlı read()/write() konvensiyasına uyğun gəlir. Statik analizlə (CodeQL taint tracking + CBMC bounded model checking) aşkar edilib və vme_fake körpüsü ilə KASAN altında dinamik olaraq təsdiqlənib: BUG: KASAN: slab-out-of-bounds in _copy_from_user+0x2d/0x80 Write of size 262144 at addr ffff888004100000 by task trigger/68 _copy_from_user+0x2d/0x80 vme_user_write+0x13e/0x240 [vme_user] vfs_write+0x1b8/0x7a0 ksys_write+0xb8/0x150