CVE-2026-90018

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: staging: rtl8723bs: rtw_get_wps_attr() funksiyasında OOB oxuma / stek bufer daşması düzəldildi rtw_get_wps_attr() simsiz idarəetmə freymindən götürülmüş WPS IE daxilindəki WPS atributlarını yoxlayır. Hər bir namizəd atribut üçün o, yalnız sabit 4 baytlıq atribut başlığının (2 baytlıq ID + 2 baytlıq uzunluq) IE daxilinə sığdığını yoxlayır: if (attr_ptr + 4 > wps_ie + wps_ielen) break; u16 attr_id = get_unaligned_be16(attr_ptr); u16 attr_data_len = get_unaligned_be16(attr_ptr + 2); u16 attr_len = attr_data_len + 4; attr_data_len (və buna görə də attr_len) birbaşa şəbəkədən oxunur və aşağıdakı əməliyyatda ölçü kimi istifadə edilməzdən əvvəl IE-də qalan baytlara qarşı heç vaxt yoxlanılmır: memcpy(buf_attr, attr_ptr, attr_len); attr_len tamamilə hücum edən tərəf tərəfindən idarə olunduğu üçün (0-dan 65535+4-ə qədər), bu həm wps_ie-nin heap OOB oxumasına, həm də daha ciddi şəkildə, buf_attr-ın tək baytlıq stek dəyişəni olduğu bir neçə çağırış nöqtəsində stek bufer daşmasına səbəb olur; məsələn, rtw_get_wps_attr_content() funksiyasının çağıranları WPS_ATTR_SELECTED_REGISTRAR parametrini stekdəki "u8 sr"/"u8 selected_registrar" dəyişəninə ötürür (drivers/staging/rtl8723bs/os_dep/ioctl_cfg80211.c, drivers/staging/rtl8723bs/core/rtw_mlme_ext.c). Beləliklə, skanlama zamanı emal edilən beacon və ya probe response-da yerləşdirilmiş xüsusi hazırlanmış WPS IE analiz edən axının (thread) stekini sıradan çıxara bilər. rtw_get_wps_attr_content() funksiyasının özünün müstəqil uzunluq yoxlaması yoxdur və sadəcə rtw_get_wps_attr()-dan aldığı attr_len dəyərinə etibar edir, ona görə də burada sərhədin düzəldilməsi həmin çağırıcı funksiyanı da düzəldir. Yuxarıdakı "attr_ptr + 4 > wps_ie + wps_ielen" başlıq yoxlaması 1463ca3ec6601 ("staging: rtl8723bs: fix OOB reads in rtw_get_sec_ie(), rtw_get_wapi_ie(), and rtw_get_wps_attr()") commit-i ilə əlavə edilmişdi; bu, sabit başlığı məhdudlaşdırırdı, lakin yoxlamanı ondan sonrakı dəyişkən uzunluqlu atribut məlumatlarını əhatə etmək üçün genişləndirməmişdi. attr_len memcpy() uzunluğu kimi istifadə edilməzdən və ya uyğunluq kimi qəbul edilməzdən əvvəl çatışmayan həmin yoxlama əlavə edildi.