CVE-2026-90000

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: HID: rmi: kiçik ölçülü RMI hesabatları ilə bağlı sərhədləri aşan (OOB) girişin düzəldilməsi hid-rmi drayveri özünün writeReport/readReport buferinin ölçüsünü heç bir minimum hədd olmadan, yalnız cihaz tərəfindən təmin edilən hesabat deskriptoruna əsasən müəyyən edir: data->input_report_size = hid_report_len(input_report); data->output_report_size = hid_report_len(output_report); alloc_size = data->output_report_size + data->input_report_size; data->writeReport = devm_kzalloc(&hdev->dev, alloc_size, GFP_KERNEL); data->readReport = data->writeReport + data->output_report_size; Lakin daha sonra onun daxilində sabit ofsetlər oxunur və yazılır. 1 baytlıq çıxış və 1 baytlıq giriş hesabatı bəyan edən cihaz üçün hid_report_len() hər biri üçün 2 qaytarır, beləliklə alloc_size 4 olur, halbuki rmi_set_page() — probe zamanı rmi_input_configured() vasitəsilə şərtsiz olaraq çağırılır — writeReport[4]-ə məlumat yazır və rmi_hid_read_block() writeReport[0..5]-ə məlumat yazır. readReport, writeReport + output_report_size ünvanında yerləşdiyindən, bu yazma əməliyyatları növbəti cavabın analiz edildiyi sahəni də korlayır. Oxuma yolu daha kritikdir: kopyalama uzunluğu cihaz tərəfindən doldurulan və 255-ə qədər ola bilən readReport[1]-dən gəlir və kopyalama input_report_size nəzərə alınmadan &readReport[2]-dən başlayır, buna görə də ayırmanın sonunu keçərək qonşu slab obyektlərinə daxil olur. Bunun üçün cihazın yanlış məlumat verməsinə belə ehtiyac yoxdur — rmi_f01_probe() sabit 21 baytlıq reyestr oxuması həyata keçirir, buna görə də 23 baytdan kiçik giriş hesabatı bəyan edən istənilən cihaz, doğru cavab verdiyi halda belə, sərhədləri aşaraq oxuma aparır. Bu baytlar RMI nüvəsinin üzərində əməliyyat apardığı reyestr dəyərlərinə çevrilir: rmi_f01_probe() onları məhsul ID-si kimi nüvə loquna çap edir və eyni adlı mode 0444 sysfs atributu vasitəsilə ixrac edir, rmi_driver_set_irq_bits() isə onları kəsilmə maskası kimi cihaza geri göndərir. Beləliklə, kiçik ölçülü hesabat deskriptoru heap məzmununun həm imtiyazsız istifadəçi sahəsinə, həm də cihazın özünə sızmasına səbəb olur. Yazma yolunda da heç bir məhdudiyyət yoxdur: rmi_hid_write_block() məhdudiyyətsiz bir len dəyərini &writeReport[4]-ə kopyalayır və probe zamanı cihazın çağıra biləcəyi ən böyük funksiya rmi_driver_set_irq_bits()-dir ki, onun uzunluğu cihazın Page Description Table-da bəyan etdiyi kəsilmə mənbəyinin sayından törəyir. Nəhayət, oxuma dövrü sıfır uzunluqlu cavabla başa çatdıra bilmir: belə bir cavab heç nə kopyalamır və nə bytes_read, nə də bytes_needed dəyərlərini artırmır. Cavab gəldiyi üçün bir saniyəlik wait_event_timeout() da işə düşmür, beləliklə, daim 0 cavabı verən cihaz, page_mutex tutulmuş halda probe worker daxilində dövrün davamlı işləməsini təmin edir. khungtaskd bunu fərq etmir, çünki hər bir cavab tapşırığı oyadır. Drayverin qurduğu struktur üçün çox kiçik olan hesabatlar — yazma hesabatları üçün 6 çıxış baytı və oxuma əlaqəsi (handshake) üçün 3 giriş baytı — probe zamanı rədd edilir, yazma və oxuma kopyalamaları cihazın bəyan etdiyi hesabat ölçülərinə uyğunlaşdırılır və sıfır uzunluqlu cavab xəta kimi qəbul edilir. Bu şəkildə rədd edilən cihaz, sanki heç bir RMI hesabat ID-ləri daşımırmış kimi adi HID cihazı kimi başladılır. Bu yolda RMI_DEVICE device_flags-də təyin edilmiş saxlanmamalıdır, çünki rmi_input_configured() RMI quraşdırmasını icra edib rmi_set_page()-ə çatardı ki, bu da az öncə ayrılması rədd edilən writeReport buferinə yazıya çalışardı. Bit təyin olunmuş halda gələ bilər: rmi_probe() hesabat yoxlamalarından əvvəl id->driver_data-nı device_flags-ə kopyalayır və new_id sysfs atributu vasitəsilə bağlama prosesi driver_data-nı RMI_DEVICE (BIT(0)) təyin olunmuş halda təmin edə bilər. Driver_data kopyalandığı yerdə bit silinsin, beləliklə RMI_DEVICE dəqiq olaraq "bu probe hesabatları təsdiqlədi" mənasını saxlasın; bu patch-dən əvvəl mövcud olan üç "start"-a keçid də əhatə olunur. Xəta yolu çıxış zamanı RMI_READ_DATA_PENDING bayrağını da təmizləyir, çünki dövrün başında gözləmə prosesi məhz bu bayrağı yoxlayır: onun təyin olunmuş qalması bütün sonrakı wait_event_timeout()-ların köhnəlmiş cavaba görə dərhal geri dönməsinə və cihazın ömrünün qalan hissəsi üçün oxuma yolunun sıradan çıxmasına səbəb olardı. Ölçülərin məhdudlaşdırılması işlək aparatlarda reqressiyaya səbəb olmur: oxuma dövrü artıq...