CVE-2026-74650

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: staging: rtl8723bs: WMM_param_handler() içindeki OOB okumasını düzelt WMM_param_handler(), alınan bir bilgi öğesinden sabit boyutlu bir WMM parametre öğesini, öğenin yeterince uzun olup olmadığını kontrol etmeden kopyalar ve kısa bir WMM IE için sınır dışı okumaya neden olur. İşleyici, pIE->data + 6 adresinde sizeof(struct WMM_para_element) (18) bayt okur, dolayısıyla pIE->length değerinin en az 24 (WLAN_WMM_LEN) olmasını gerektirir, ancak uzunluğu hiçbir zaman doğrulamaz. Üç çağıranından ikisi, yalnızca WMM OUI ile eşleştikten sonra işleyiciye ulaşır: rtw_mlme_ext.c içindeki OnAssocRsp() 6 baytlık bir OUI ile eşleşir ve join_cmd_hdl() işleyiciyi çağırmadan önce 4 baytlık bir OUI ile eşleşir. WMM OUI'sini taşıyan ancak uzunluğu 6 ile 23 arasında olan bir satıcıya özgü IE, bir ilişkilendirme yanıtına veya join_cmd_hdl()'e verilen IE blobuna yerleştirildiğinde OUI kontrolünü geçer ve ardından pIE->data + 6 adresindeki memcmp() ve memcpy() işlevlerinin öğenin sonunu aşarak okumasına neden olur. OnAssocRsp(), AP'den alınan bir çerçeveyi ayrıştırır, dolayısıyla bu duruma uzak bir eşten erişilebilir. rtw_wlan_util.c içindeki kalan çağıran, işleyiciyi zaten "pIE->length == WLAN_WMM_LEN" ile korumaktadır. Eşdeğer kontrolü işleyicinin kendisine taşıyın, böylece tüm çağıranlar kapsanır; aynı ayrıştırma döngüsündeki kardeş IE işleyicileri (HT_caps_handler(), HT_info_handler(), ERP_IE_handler()) de erişimlerini benzer şekilde pIE->length ile sınırlar.