CVE-2026-74488

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: wifi: mwifiex: A-MSDU TDLS freymlərini analiz edərkən altfreym uzunluğundan istifadə edin mwifiex_11n_dispatch_amsdu_pkt() funksiyası ieee80211_amsdu_to_8023s() vasitəsilə A-MSDU-nu bölür və nəticədə alınan altfreymləri nəzərdən keçirir. Hər bir altfreym üçün o, altfreym məlumat göstəricisini mwifiex_process_tdls_action_frame() funksiyasına ötürür, lakin bunu rx_skb->len əvəzinə A-MSDU valideyninin uzunluğu olan skb->len ilə birləşdirir: rx_skb = __skb_dequeue(&list); rx_hdr = (struct rx_packet_hdr *)rx_skb->data; if (ISSUPP_TDLS_ENABLED(priv->adapter->fw_cap_info) && ntohs(rx_hdr->eth803_hdr.h_proto) == ETH_P_TDLS) { mwifiex_process_tdls_action_frame(priv, (u8 *)rx_hdr, skb->len); } Valideyn həmin buferin düzgün təsviri deyil və ümumiyyətlə etibarlı yaddaş sahəsi olmaya bilər. ieee80211_amsdu_to_8023s() funksiyası bununla başa çatır: if (!reuse_skb) dev_kfree_skb(skb); və o, reuse_skb dəyişənini yalnız valideyn xətti olduqda, head_frag olmadıqda və *sonuncu* altfreym kimi istifadə edildikdə təyin edir. Beləliklə, valideyn təkrar istifadə üçün uyğun olmadıqda, o artıq azad edilmiş olur və skb->len oxunuşu "use-after-free" (azad edilmis yaddaşdan istifadə) xətasına səbəb olur. Təkrar istifadə edildikdə isə skb->len sonuncu altfreymin uzunluğudur və hər bir əvvəlki altfreymə tətbiq edilir ki, bu da əvvəlki altfreym daha qısa olduqda buferin ölçüsünü olduğundan çox göstərir. Çağırılan funksiya yanlış uzunluğu kompensasiya edə bilmir, çünki öz maksimum həddini ona verilən dəyərdən törədir. Hər bir freym tipi belə hesablayır: ies_len = len - sizeof(struct ethhdr) - TDLS_*_FIX_LEN; və elementlərin gəzintisi tamamilə həmin maksimum hədlə məhdudlaşdırılır: for (end = pos + ies_len; pos + 1 < end; pos += 2 + pos[1]) { u8 ie_len = pos[1]; if (pos + 2 + ie_len > end) break; beləliklə, həddindən artıq böyük len dəyəri "end" göstəricisini altfreymin sonuna çatdırır və gəzinti prosesi onun xaricindən məlumatları oxuyur və kopyalayır. A-MSDU strukturu göndərən tərəf tərəfindən seçilir, bu da sonuncu altfreym ilə daha qısa olan əvvəlki altfreym arasındakı fərqin uzaqdan idarə olunmasını mümkün edir. Buna nail olmaq üçün proqram təminatında (firmware) TDLS dəstəyi və altfreymdə TDLS ethertype-ı tələb olunur. Digər çağırıcı, mwifiex_process_rx_packet(), doğrudur: o, RX buferinin eyni bölgəsini təsvir edən göstərici və uzunluğu ötürür. Həqiqətən analiz edilən altfreymin uzunluğu olan rx_skb->len ötürülür.