CVE-2026-63896

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: usb: gadget: composite: WebUSB GET_URL işlemedeki tamsayı alt taşması (integer underflow) düzeltildi composite_setup() içindeki WebUSB GET_URL işleyicisi, landing_page_length değerini ana bilgisayar tarafından sağlanan wLength değerine uydurmak için şu işlemi kullanır: landing_page_length = w_length - WEBUSB_URL_DESCRIPTOR_HEADER_LENGTH + landing_page_offset; Eğer wLength, WEBUSB_URL_DESCRIPTOR_HEADER_LENGTH değerinden küçükse, imzasız çıkarma işlemi döngüye girer (wrap) ve ardından gelen memcpy(url_descriptor->URL, cdev->landing_page + landing_page_offset, landing_page_length - landing_page_offset); işlemi sonucunda cdev->landing_page üzerinden cdev->req->buf içerisine UINT_MAX değerine yakın bayt kopyalanır. KASAN, composite_setup üzerinde kmalloc-2k gadget_info tahsisinde bir slab-out-of-bounds rapor eder ve FORTIFY_SOURCE, memcpy işlemini url_descriptor->URL (boyut 252) içine yapılan 4294967293 baytlık alan aşan bir yazma işlemi olarak yakalar. Bir USB ana bilgisayarı, webusb/use=1 olan ve bir landingPage yapılandırılmış herhangi bir gadget'a karşı tek bir SETUP paketi ile bu duruma yol açabilir. Matematiksel işlemden önce küçük wLength durumu ele alınmıştır: Ana bilgisayar, URL tanımlayıcı başlığından daha az bayt talep ettiğinde yalnızca başlık anlamlıdır ve hiçbir URL baytının kopyalanması gerekmez. landing_page_length değerinin landing_page_offset olarak ayarlanması, mevcut memcpy işlemini etkisiz hale getirir (no-op) ve tüm daha büyük wLength değerleri için ana bilgisayara döndürülen tanımlayıcıyı değiştirilmeden bırakır.