CVE-2026-89471

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: power: supply: cros_usbpd-charger: EC tarafından bildirilen port sayısı sınırlandırıldı cros_usbpd_charger_probe() fonksiyonu, EC'den iki port sayısı okur ve sabit boyutlu bir diziyi doldururken bunlardan birini, num_charger_ports değerini döngü sınırı olarak kullanır: struct port_data *ports[EC_USB_PD_MAX_PORTS]; /* 8 giriş */ ... for (i = 0; i < charger->num_charger_ports; i++) charger->ports[charger->num_registered_psy++] = port; Hem num_usbpd_ports (EC_CMD_USB_PD_PORTS üzerinden) hem de num_charger_ports (EC_CMD_CHARGE_PORT_COUNT üzerinden), EC tarafından bildirilen u8 değerleridir. Tek doğrulama, EC tarafından bildirilen bu iki değeri birbirleriyle karşılaştıran bir mantık kontrolüdür: if (num_charger_ports < num_usbpd_ports || num_charger_ports > num_usbpd_ports + 1) return -EPROTO; Her iki sayım da ports[] dizisinin boyutu olan EC_USB_PD_MAX_PORTS ile hiçbir zaman karşılaştırılmaz. Herhangi bir N > 8 için (örneğin her ikisi de 255) num_usbpd_ports == num_charger_ports == N şeklinde bildirimde bulunan arızalı, kötü niyetli veya ele geçirilmiş bir EC bu kontrolü geçer ve ardından döngü, devm_kzalloc()'dan ayrılan charger_data içerisindeki 8 girişli ports[] dizisine N adet işaretçi yazar; böylece diziyi 255 - 8 = 247 girişe kadar (~1976 bayt) aşarak bir slab out-of-bounds write hatasına yol açar. ports[] dizisinin kapasitesinden daha büyük olan port sayıları reddedilir.