CVE-2026-89864

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: scsi: qla2xxx: I2C bsg handler-lərində i2c->length məhdudlaşdırıldı struct qla_i2c_access sabit 64 baytlıq buferlə yanaşı, 16 bitlik length sahəsini daşıyır: struct qla_i2c_access { uint16_t device, offset, option, length; uint8_t buffer[0x40]; } __packed; qla2x00_write_i2c() və qla2x00_read_i2c() funksiyaları istifadəçi tərəfindən təmin edilən i2c->length dəyərindən heç bir sərhəd yoxlaması olmadan istifadə edir. i2c stek üzərindəki 256 baytlıq buferin üzərinə yerləşdirilir və sfp 256 baytlıq DMA-pool buferi olduğu üçün, 65535-ə qədər olan uzunluq hər ikisini aşır: - write: memcpy(sfp, i2c->buffer, i2c->length) steki həddindən artıq oxuyur və sfp heap buferini həddindən artıq yazır, daha sonra qla2x00_write_sfp() 256 baytlıq buferdən i2c->length baytı DMA ilə ötürür. - read: qla2x00_read_sfp() 256 baytlıq sfp-yə i2c->length baytı DMA ilə yazır, sonra memcpy(i2c->buffer, sfp, i2c->length) stek massivinin daxilindəki 64 baytlıq buferi daşıyır. CAP_SYS_RAWIO hüququna malik çağırıcı bundan heap və kernel stekini korlamaq üçün istifadə edə bilər. Hər iki handler-də hər hansı kopyalama və ya DMA transferindən əvvəl uzunluğu buferi aşan sorğular rədd edilir.