CVE-2026-74500

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: ALSA: usb-audio: RME Digiface statusunda stek məlumat sızmasının düzəldilməsi snd_rme_digiface_read_status() funksiyası cihazdan dörd sözlük status blokunu stekdəki təşkil edilməmiş __le32 buf[4] massivinə oxuyur və vendor control-IN transferi mənfi xəta qaytarmadığı hər an bütün dörd sözü çağıranın status[] massivinə kopyalayır. snd_usb_ctl_msg() funksiyası, məlumat mərhələsinin faktiki olaraq neçə bayt ötürülməsindən asılı olmayaraq, sorğu edilən tam ölçünü çağıranın buferinə geri kopyalayır: buf = kmemdup(data, size, GFP_KERNEL); err = usb_control_msg(dev, pipe, request, requesttype, value, index, buf, size, timeout); memcpy(data, buf, size); usb_control_msg() qısa control-IN zamanı ötürülmüş uzunluğu qaytarır ki, bu da qeyri-mənfi dəyərdir və yalnız həmin sayda baytı yazır. Geri kopyalamanın qalan hissəsi çağıranın buferinin kmemdup() edilmiş obrazıdır, buna görə də qısa məlumat mərhələsi ilə cavab verən cihaz buf[]-ın sonuncu sözlərində nüvə stekinin qalıqlarını saxlayır. Çağırandakı yeganə mühafizə mexanizmi err < 0 şərtidir, buna görə də həmin sözlər status[]-a yazılır. Daha sonra onlar istifadəçi sahəsinə çatır: snd_rme_digiface_get_status_val() idarəetmənin reg/mask-na uyğun olaraq status[]-dan 16 bitlik yarım söz seçir və səkkiz Digiface status idarəetməsi birlikdə bütün 16 baytlıq freymi /dev/snd/controlC* faylını oxuyan imtiyazsız istifadəçiyə açır. Qısa oxuma əməliyyatının stek qalıqları əvəzinə sıfırlar verməsi üçün buferi sıfırlarla ilkinləşdirin. Bu, eyni növ vendor oxumasından əvvəl çıxış sözünü artıq təmizləyən snd_rme_get_status1() funksiyasının iş prinsipi ilə üst-üstə düşür. XBOW tərəfindən aşkar edilib, Baul Lee <[email protected]> tərəfindən triaj edilib.