CVE-2026-80973

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: ALSA: 6fire: cihazdan gələn MIDI hadisəsinin uzunluğu məhdudlaşdırıldı usb6fire_comm_receiver_handler() funksiyası MIDI hadisəsini cihaz tərəfindən təmin edilən uzunluq baytı vasitəsilə ötürür, lakin burada heç bir məhdudiyyət yoxdur və ötürmənin həmin sayda bayt çatdırdığına dair yoxlama aparılmır: if (!urb->status) { if (rt->receiver_buffer[0] == 0x10) /* midi in event */ if (midi_rt) midi_rt->in_received(midi_rt, rt->receiver_buffer + 2, rt->receiver_buffer[1]); } receiver_buffer 64 baytlıq kzalloc() buferi (COMM_RECEIVER_BUFSIZE)-dir, buna görə də iki baytlıq başlıqdan sonra yalnız 62 bayt gəlir. receiver_buffer[1] cihazın seçdiyi u8 tipində dəyişəndir, beləliklə, 0x10 cavabı və 0xFF uzunluğu göndərən cihaz snd_rawmidi_receive() funksiyasının 64 baytlıq obyektin ikinci baytından başlayaraq 255 bayt oxumasına səbəb olur. Buferdən kənardakı baytlar rawmidi oxuma yolu ilə istifadəçi sahəsinə (userspace) ötürülür. urb->actual_length də nəzərə alınmır, buna görə də qısa ötürmə həm tip baytını, həm də uzunluq baytını əvvəlki dəyərlərində saxlayır və handler köhnəlmiş məlumatlarla işləyir. Qəbul edici URB, probe zamanı usb6fire_comm_init() funksiyasından göndərilir, buna görə də oxuma prosesi istifadəçi müdaxiləsi olmadan qoşulma zamanı baş verir; istifadəçi sahəsinə ötürmə üçün MIDI giriş altaxınının açıq olması lazımdır, çünki usb6fire_midi_in_received() yalnız rt->in təyin edildikdə snd_rawmidi_receive() funksiyasını çağırır. 7.2.0-rc5 (arm64) versiyasında KASAN, emulyasiya edilmiş cihazdan gələn tək paket: BUG: KASAN: slab-out-of-bounds in snd_rawmidi_receive Read of size 255 at addr ffff000009f64682 by task bash/183 __asan_memcpy snd_rawmidi_receive usb6fire_midi_in_received [snd_usb_6fire] usb6fire_comm_receiver_handler [snd_usb_6fire] Allocated by task 11: usb6fire_comm_init [snd_usb_6fire] usb6fire_chip_probe [snd_usb_6fire] The buggy address is located 2 bytes inside of allocated 64-byte region [ffff000009f64680, ffff000009f646c0) Uzunluq başlıqdan sonrakı baytlardan çox olduqda hadisə rədd edilir və ötürmənin başlıqla birlikdə həmin sayda bayt çatdırdığı tələb olunur. Qəbul edici URB 64 baytlıq transfer_buffer_length ilə göndərildiyi üçün real cihaz 62 baytdan daha uzun hadisə çatdıra bilməz və heç bir düzgün məlumat itirilmir. XBOW tərəfindən aşkar edilmiş, Baul Lee <[email protected]> tərəfindən analiz edilmişdir.