CVE-2026-89999

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: HID: wacom: wacom_intuos_pro2_bt_irq funksiyasında hesabat uzunluğunun yoxlanılması wacom_intuos_pro2_bt_irq() funksiyası ötürülmüş hesabat uzunluğunu `len` parametrində qəbul edir, lakin analizdən əvvəl onu heç vaxt yoxlamır. Report-id yoxlamasından sonra o, şərtə baxılmaksızın wacom_intuos_pro2_bt_pen() funksiyasını və daha sonra features.type tərəfindən seçilən alt-analizləyicilər zəncirini çağırır ki, bunların heç biri `len` parametrini qəbul etmir: wacom_intuos_pro2_bt_pen(wacom); if (type == INTUOSP2_BT || type == INTUOSP2S_BT) { wacom_intuos_pro2_bt_touch(wacom); wacom_intuos_pro2_bt_pad(wacom); wacom_intuos_pro2_bt_battery(wacom); } else { wacom_intuos_gen3_bt_pad(wacom); wacom_intuos_gen3_bt_battery(wacom); } Hər bir alt-analizləyici wacom->data-nı sabit ofsetlər üzrə oxuyur. Hər bir budaqda toxunulan ən uzaq bayt belədir: INTUOSP2_BT / INTUOSP2S_BT: wacom_intuos_pro2_bt_pad() data[285]-i (touchring baytı) oxuyur, buna görə də hesabat ən azı 286 bayt olmalıdır; INTUOSHT3_BT ("gen3"): wacom_intuos_gen3_bt_battery() data[45]-i oxuyur, buna görə də hesabat ən azı 46 bayt olmalıdır. features.type VID/PID id_table yazısından seçilir və wacom_setup_device_quirks() hesabat deskriptorundan asılı olmayaraq həmin tip üçün pen/pad/touch girişlərini məcburi qeydiyyata alır. Beləliklə, bədniyyətli və ya nasaz işləyən cütləşdirilmiş/saxtalaşdırılmış Bluetooth periferik cihazı həmin VID/PID-ni təqdim edə bilər və hələ də data[0] == 0x80/0x81 şərtini ödəyən kifayət qədər kiçik ölçülü hesabat göndərə bilər. Driver daha sonra qəbul edilmiş hesabatın sərhədlərindən kənara çıxaraq oxuma aparır və bu baytları evdev vasitəsilə istifadəçi sahəsinə (pen və pad giriş düyünlərində MSC_SERIAL / ABS_MISC / ABS_WHEEL kimi) ötürür. Bu, konkret istifadəçi sahəsi geri-oxuma kanalı olan bir "out-of-bounds read" (sərhədlərdən kənar oxuma) hadisəsidir və arxa buferi sabit ölçülü staging buferi yerinə (kiçik) hesabat deskriptoruna uyğun ölçülən nəqliyyat vasitələrində real "out-of-bounds read" törədir. Bu, artıq bacı funksiya olan wacom_intuos_bt_irq()-də düzəldilmiş və hər bir hesabat ID-sini analizdən əvvəl minimum uzunluğa görə qoruyan 2f1763f62909 ("HID: wacom: fix out-of-bounds read in wacom_intuos_bt_irq") commit-i ilə eyni sinifli xətadır. wacom_intuos_pro2_bt_irq() funksiyası da eyni şəkildə qorunur: analizdən əvvəl, seçilmiş budağın faktiki olaraq müraciət etdiyi ən uzaq ofsetdən daha qısa olan hesabatlar rədd edilir, xəbərdarlıq verilir və proses dayandırılır. Bütün pen/touch/pad/battery zənciri hər budaq üzrə şərtə baxılmadan işlədiyi üçün maksimum ofsetə (INTUOSP2_BT/INTUOSP2S_BT üçün 286 bayt, gen3 budağı üçün 46 bayt) qarşı edilən tək bir ilkin yoxlama bütün alt-analizləyiciləri məhdudlaşdırır. Qısa hesabat zamanı 0 qaytarmaq həmçinin həmin yanlış formalaşmış hesabat üçün bu çağırışları ötürür ki, bu da təhlükəsiz və konservativ davranışdır.