CVE-2026-89628

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: HID: picolcd: eeprom debugfs okumasını gerçekte alınan baytlarla sınırla picolcd_debug_eeprom_read(), cihazın REPORT_EE_DATA yanıtında sağladığı bir uzunluk baytı olan resp->raw_data[2]'ye güvenir ve bunu yalnızca çağıranın read() sayısıyla sınırlar: ret = resp->raw_data[2]; if (ret > s) ret = s; if (copy_to_user(u, resp->raw_data+3, ret)) Bu işlem, picolcd_raw_event()'in kmalloc ile ayrılmış picolcd_pending yapısının 64 baytlık raw_data[] dizisine gerçekte kopyaladığı bayt sayısı olan resp->raw_size değerini hiçbir zaman kontrol etmez. Uzunluk baytı olarak 0xff döndüren bir cihaz (veya sahte bir picoLCD), 255 veya daha büyük bir sayı ile okuma yapıldığında, copy_to_user()'ın raw_data[] dizisinin dışına çıkarak bitişik slab belleği okumasına ve bunu debugfs "eeprom" dosyası aracılığıyla kullanıcı alanına döndürmesine neden olur: BUG: KASAN: slab-out-of-bounds in _copy_to_user Read of size 255 ... picolcd_debug_eeprom_read+0x214/0x2f0 [hid_picolcd] Aynı dosyadaki hata ayıklama dökümü yolu, cihaza ait uzunluk baytını güvenmeden önce alınan boyutla doğrulamaktadır; ancak bu okuma işlemi bunu yapmamaktadır. Dosya S_IRUSR (yalnızca root) olarak oluşturulur ve özel olarak hazırlanmış bir cihaz gereklidir, bu nedenle ne yetkisiz kullanıcılar tarafından ne de uzaktan tetiklenebilir. Kopyalama uzunluğunu, kısa yanıtlar için alt sınırı 0 olacak şekilde, resp->raw_size - 3 (gerçekte alınan yükten 3 baytlık başlığın çıkarılmış hali) ile sınırlandırın.