CVE-2026-74641

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ALSA: usx2y: hwdep mmap hata ofsetini sınırlandırın snd_us428ctls_vm_fault(), hata veren sayfa ofsetini herhangi bir sınırlandırma olmaksızın bir çekirdek adresine dönüştürür: offset = vmf->pgoff << PAGE_SHIFT; vaddr = (char *)(...)->us428ctls_sharedmem + offset; page = virt_to_page(vaddr); get_page(page); vmf->page = page; return 0; snd_us428ctls_mmap() yalnızca eşlemenin uzunluğunu kontrol eder, ofseti asla kontrol etmez ve us428ctls_sharedmem, alloc_pages_exact() ile ayrılmış tek bir sayfadır. Bir karakter aygıtı için file_mmap_size_max() ULONG_MAX döndürür, bu nedenle mm katmanı da herhangi bir üst sınır getirmez. Sıfırın üzerindeki her sayfa ofseti, nesnenin dışındaki bir struct page yapısına çözümlenir ve işleyici bunu çağıranın adres alanına okuma-yazma şeklinde kurar; vma salt okunur olarak işaretlenmemiştir. Çağıran taraf, tek bir mmap() argümanıyla sayfa çerçevesini seçer ve sahibi olmadığı bir çekirdek bellek sayfasına okuma-yazma erişimi sağlar; doldurulmamış bir vmemmap bölgesine denk gelen bir ofset ise bunun yerine oops hatasına yol açar. Bağlı bir US-X2Y cihazının hwdep düğümünü açabilen bir işlem, aynı düğüm üzerinden FPGA görüntüsünü yükledikten sonra buraya ulaşır; herhangi bir yetenek (capability) kontrolü uygulanmaz. 7.2.0-rc5 (arm64) sürümünde, büyük bir ofset ile yapılan mmap(): Unable to handle kernel paging request at virtual address fffffdffc45d5ac8 pc : snd_us428ctls_vm_fault+0x68/0x140 [snd_usb_usx2y] Call trace: snd_us428ctls_vm_fault+0x68/0x140 [snd_usb_usx2y] __do_fault __handle_mm_fault handle_mm_fault el0_da Paylaşılan bölgenin dışındaki tüm ofsetleri reddedin. usx2yhwdeppcm.c dosyasındaki pcm hwdep işleyicisi de adresini aynı şekilde hesaplar ve aynı sınırlamaya ihtiyaç duyar. XBOW tarafından keşfedilmiş, Baul Lee <[email protected]> tarafından analiz edilmiştir.