CVE-2026-64449

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: staging: vme_user: sınırlı slave okuma/yazma işlemi kern_buf boyutuna bağlandı SLAVE-yolu yardımcıları olan buffer_to_user() ve buffer_from_user(), *ppos değerini ofset olarak kullanarak 'count' baytını sabit boyutlu kern_buf (size_buf == PCI_BUF_SIZE == 0x20000, 128 KiB) içine/dışına kopyalar; ancak *ppos + count toplamını size_buf ile sınırlandırmaz. vme_user_write()/vme_user_read() fonksiyonları, count değerini yalnızca VME pencere boyutuna (image_size = vme_get_size(resource)) göre sınırlar. VME_SET_SLAVE tarafından kullanıcı tarafından sağlanan slave.size üzerinden ayarlanan bu değer, PCI_BUF_SIZE yerine VME adres alanına (VME_A32_MAX = 4 GiB'ye kadar) göre doğrulanır. Pencere boyutu 128 KiB'ı aştığında, bir write()/read() işlemi kern_buf tahsisinin ötesine kopyalama yapar. Her iki yardımcı fonksiyonda count değeri size_buf'a göre sınırlandırılmış ve *ppos zaten tampon sonundaysa veya sonrasındaysa erken dönüş sağlanmıştır. Burada *ppos >= 0 olduğundan (çağıran taraf negatif ofsetleri reddeder), size_buf - *ppos işlemi taşma yapamaz. Bu işlem, MASTER-yolu yardımcıları olan resource_to_user() / resource_from_user() içerisindeki mevcut sınırlamanın aynısıdır ve read()/write() işlemlerinin tampon sonunda kısa aktarım gerçekleştirme kuralıyla uyumludur. Statik analiz (CodeQL taint tracking + CBMC bounded model checking) ile tespit edilmiş ve vme_fake köprüsü altında KASAN ile dinamik olarak doğrulanmıştır: BUG: KASAN: slab-out-of-bounds in _copy_from_user+0x2d/0x80 Write of size 262144 at addr ffff888004100000 by task trigger/68 _copy_from_user+0x2d/0x80 vme_user_write+0x13e/0x240 [vme_user] vfs_write+0x1b8/0x7a0 ksys_write+0xb8/0x150