CVE-2026-74336

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: wifi: mac80211: S1G TIM PVB yürüyüşünü TIM öğesiyle sınırla ieee80211_s1g_check_tim(), alınan bir TIM öğesinin S1G Kısmi Sanal Bit Haritasını (PVB) ayrıştırır. TIM, öğe yükü olarak iletilir: ieee802_11_parse_elems_full(), elems->tim = elem->data ve elems->tim_len = elem->datalen (net/mac80211/parse.c) şeklinde saklar, dolayısıyla geçerli baytlar [tim, tim + tim_len) aralığındadır. Kodlanmış bloklar üzerinde yürürken işlev, yürüyücüye (const u8 *)tim + tim_len + 2, yani öğenin sonunun iki bayt ötesinde bir bitiş nöbetçisi iletir. ieee80211_s1g_find_target_block(), (ptr + 1 <= end) koşuluyla döngü yapar ve ptr'yi başvurur (ve moda özgü ieee80211_s1g_len_*() yardımcıları *ptr okur), bu nedenle TIM öğesinin iki bayt ötesine kadar okuyabilir -- TIM çerçevedeki son öğe olduğunda bitişik skb/yığın verilerinin sınır dışı okunması. +2, öğe kimliği/uzunluk başlığını hesaba katıyor gibi görünmektedir, ancak tim zaten bu başlığın ötesinde öğe yüküne işaret etmektedir, dolayısıyla eklenen değer yanlıştır. Doğru öğe sonunu, (const u8 *)tim + tim_len değerini iletin.