CVE-2026-74651

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: staging: rtl8723bs: rtw_get_wpa_ie() içindeki OOB okuması düzeltildi rtw_get_wpa_ie(), satıcıya özgü bir bilgi öğesinin içine sabit ofsetlerden bayt okurken öğenin yeterince uzun olup olmadığını kontrol etmez; bu da kısa bir sonlandırıcı IE için sınır dışı okumaya (out-of-bounds read) neden olur. Fonksiyon, rtw_get_ie() ile satıcıya özgü bir IE'yi (EID 221) bulur ve ardından pbuf + 2 konumundaki 4 baytlık OUI+type değerini karşılaştırır ve pbuf + 6 konumundaki 2 baytlık sürüm sözcüğünü okur. Bu erişimler, IE gövdesinin en az 6 bayt olmasını gerektirir; ancak rtw_get_ie() yalnızca öğenin arabelleğe sığdığını garanti eder, asgari gövde uzunluğunu zorunlu kılmaz. Bu nedenle uzunluk baytı 0 ile 5 arasında olan ve arabelleğin sonuna yerleştirilmiş satıcıya özgü bir IE, bu okumaların IE'nin sonunu ve arabelleğin kendi sonunu aşmasına yol açar. Arabellek, alınan yönetim çerçevelerinden alınan bilgi öğelerini ve tam uzunluğuna kmemdup ile kopyalanan rtw_cfg80211_set_wpa_ie() fonksiyonuna geçirilen IE blobunu tutar; bu nedenle okuma, ayırmanın sonunu aşabilir. Bu dosyadaki kardeş yardımcılar rtw_get_sec_ie(), rtw_get_wapi_ie() ve rtw_get_wps_ie(), OUI memcmp() işlemlerinden önce çok kısa satıcıya özgü IE'leri zaten reddeder; rtw_get_wpa_ie() hiçbir zaman bunlarla uyumlu hale getirilmemiştir ve sürüm sözcüğü nedeniyle 4 yerine en az 6 bayt gerektirir. Eksik uzunluk kontrolü eklenmiştir.