CVE-2026-80973

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ALSA: 6fire: cihazdan gelen MIDI olay uzunluğu sınırlandırıldı usb6fire_comm_receiver_handler(), cihaz tarafından sağlanan bir uzunluk baytını kullanarak bir MIDI olayını iletirken herhangi bir sınırlandırma yapmamakta ve aktarımın bu kadar bayt teslim edip etmediğini kontrol etmemektedir: if (!urb->status) { if (rt->receiver_buffer[0] == 0x10) /* midi in event */ if (midi_rt) midi_rt->in_received(midi_rt, rt->receiver_buffer + 2, rt->receiver_buffer[1]); } receiver_buffer, 64 baytlık bir kzalloc() tamponudur (COMM_RECEIVER_BUFSIZE), dolayısıyla iki baytlık üstbilgiyi yalnızca 62 bayt takip eder. receiver_buffer[1], cihazın seçtiği bir u8 değeridir; bu nedenle 0x10 yanıtı veren ve 0xFF uzunluğunu belirten bir cihaz, snd_rawmidi_receive() fonksiyonunun 64 baytlık bir nesnenin ikinci baytından başlayarak 255 bayt okumasına neden olur. Tamponun ötesindeki baytlar, rawmidi okuma yolu aracılığıyla kullanıcı alanına (userspace) iletilir. urb->actual_length değeri de dikkate alınmadığından, kısa bir aktarım hem tip baytının hem de uzunluk baytının önceki değerlerinde kalmasına yol açar ve işleyici güncel olmayan veriler üzerinden işlem yapar. Alıcı URB, probe sırasında usb6fire_comm_init() üzerinden gönderilir, bu nedenle okuma işlemi herhangi bir kullanıcı eylemi olmaksızın takıldığında gerçekleşir; kullanıcı alanına iletim için ayrıca bir MIDI giriş alt akışının açık olması gerekir, çünkü usb6fire_midi_in_received() yalnızca rt->in ayarlı olduğunda snd_rawmidi_receive() fonksiyonunu çağırır. 7.2.0-rc5 (arm64) üzerinde KASAN, emüle edilmiş bir cihazdan gelen tek paketle: BUG: KASAN: slab-out-of-bounds in snd_rawmidi_receive Read of size 255 at addr ffff000009f64682 by task bash/183 __asan_memcpy snd_rawmidi_receive usb6fire_midi_in_received [snd_usb_6fire] usb6fire_comm_receiver_handler [snd_usb_6fire] Allocated by task 11: usb6fire_comm_init [snd_usb_6fire] usb6fire_chip_probe [snd_usb_6fire] The buggy address is located 2 bytes inside of allocated 64-byte region [ffff000009f64680, ffff000009f646c0) Uzunluk, üstbilgiyi takip eden bayt sayısını aştığında olay reddedilmeli ve aktarımın üstbilgi artı belirtilen miktarda baytı teslim etmiş olması şart koşulmalıdır. Alıcı URB, 64 baytlık bir transfer_buffer_length ile gönderildiğinden, gerçek bir cihaz bu 62 bayttan daha uzun bir olay teslim edemez ve geçerli hiçbir veri kaybı yaşanmaz. XBOW tarafından keşfedilmiş, Baul Lee <[email protected]> tarafından analiz edilmiştir.