CVE-2026-80575

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: Input: cs40l50-vibra - kullanıcı alanından gelen özel verileri doğrula cs40l50_add(), FF_PERIODIC/FF_CUSTOM efektinin özel verilerini, kullanıcının EVIOCSFF'e ilettiği ff_effect'ten doğrudan kopyalar ve bu verilerin herhangi bir içerik barındırmasını gerektirmez: work_data.custom_data = memdup_array_user(periodic->custom_data, periodic->custom_len, sizeof(s16)); work_data.custom_len = periodic->custom_len; Sürücü daha sonra bu arabellekten iki kelime okur: cs40l50_effect_bank_set() içinde dalga formu bankası olarak custom_data[0] ve cs40l50_effect_index_set() içinde banka içindeki dizin olarak custom_data[1]. Hiçbir okuma bir uzunluk denetimiyle korunmaz ve custom_len tamamen kullanıcı denetimindedir: - custom_len == 0, memdup_array_user() işlevinin memdup_user() işlevini sıfır uzunlukla çağırmasına neden olur; bu da hata yerine ZERO_SIZE_PTR döndürür, dolayısıyla custom_data[0] bu işaretçiyi başvuruyla çözer. - custom_len == 1 iki bayt ayırır. ROM veya RAM bankası, effect->type değerini OWT durumunun dışında tutar ve ardından custom_data[1] ayırmanın bir kelime ötesinden okunur. Banka değerinin kendisi de yanlış işlenir. CS40L50_CUSTOM_DATA_MASK (0xffff) ile maskelenir ancak bir s16 içinde saklanır, bu nedenle 0x8000 veya üzeri bir custom_data[0] değeri, "bank_type >= CS40L50_WVFRM_BANK_NUM" testini geçen negatif bir değere dönüşür. cs40l50_effect_index_set(), switch deyiminin default durumu bunu reddetme fırsatı bulamadan vib->dsp.banks[] dizisini bu değerle indeksler: base_index = vib->dsp.banks[effect->type].base_index; max_index = vib->dsp.banks[effect->type].max_index; Sürücünün okuduğu iki kelimenin mevcut olmasını zorunlu kıl ve maskelenmiş bankayı bir u32 içinde tut, böylece mevcut üst sınır testi tüm aralığı kapsasın. da7280 dokunsal geri bildirim sürücüsü custom_len değerini zaten bu şekilde aralık denetiminden geçirir.