CVE-2026-80712

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: spi: spi-qpic-snand: SET_FEATURE yürütülmeden önce özellik değerini yazın qcom_spi_send_cmdaddr() fonksiyonu NAND_FLASH_CMD/NAND_EXEC_CMD'yi programlar ve tanımlayıcıları gönderir; bu da denetleyicinin komutu hemen yürütmesine neden olur. SPINAND_SET_FEATURE için yazılacak değer, ancak daha sonra qcom_spi_io_op() tarafından ikinci bir gönderimle NAND_FLASH_FEATURES içine yerleştirilir - böylece çip, söz konusu kaydedicinin önceki bir işlemden kalan herhangi bir değerle programlanır ve hedeflenen değer yalnızca bir *sonraki* SET_FEATURE ile uygulanır. Bir TP-Link Archer AX55 v1 (IPQ5018, ESMT F50L1G41LB) üzerinde yapılan ölçümlerde: yapılandırma kaydedicisine (0xb0) 0x40 yazılması çipi 0x00 durumunda bırakırken, ardından gelen 0x00 yazımı onu 0x40 durumunda bırakmaktadır - her yazma işlemi bir işlem gecikmeli olarak gerçekleşmektedir. Bu durum, v6.18 sürümüyle birlikte ESMT çipler için OTP girişleri ve SPI-NAND OTP desteği eklenene kadar fark edilmemiştir. spinand_otp_rw() OTP modunu etkinleştirir, okuma yapar ve tekrar devre dışı bırakır; mtd_otp_nvmem_add() ise bunu MTD kaydı sırasında gerçekleştirir. Bu bir işlem kayması nedeniyle, "devre dışı bırakma" yazma işlemi aslında önceden talep edilen değeri uygular, dolayısıyla CFG_OTP_ENABLE ayarlanmış kalır: çip OTP modunda kalır, sonraki her dizi okuması dizi yerine OTP alanını döndürür (UBI boş bir cihaz rapor eder) ve tüm yazma işlemleri OTP alanı yazma korumalı olduğu için -EIO hatasıyla başarısız olur. Bu kartta bu durum, tüm flaş belleğin kullanılamaz hale gelmesine ve cihazın önyükleme yapamamasına neden olur. Özellik değerini aynı işlemin bir parçası olarak, NAND_EXEC_CMD'den önce NAND_FLASH_FEATURES içine yazın. Bunu yaparken, yalnızca işlemin gerçekten taşıdığı baytları kopyalayın - önceki kod, tek baytlık bir tampon (spinand->scratchbuf) üzerinde 4 baytlık bir işaretçiyi çözümlüyordu. Bu yama ile flaş içeriği, üretici donanım yazılımı altında alınan aynı kartın bilinen sağlam bir dökümüyle (bölümler arasında md5 doğrulamalı) bit düzeyinde aynı şekilde geri okunmakta ve yazma işlemleri çalışmaktadır.