CVE-2026-89999

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: HID: wacom: wacom_intuos_pro2_bt_irq fonksiyonunda rapor uzunluğunu doğrula wacom_intuos_pro2_bt_irq() fonksiyonu, kablo rapor uzunluğunu `len` parametresi ile alır ancak ayrıştırma işleminden önce bunu hiçbir zaman kontrol etmez. Rapor kimliği (report-id) denetiminden sonra koşulsuz olarak wacom_intuos_pro2_bt_pen() fonksiyonunu ve ardından features.type tarafından seçilen, hiçbiri `len` değerini almayan sabit bir alt ayrıştırıcı zincirini çağırır: wacom_intuos_pro2_bt_pen(wacom); if (type == INTUOSP2_BT || type == INTUOSP2S_BT) { wacom_intuos_pro2_bt_touch(wacom); wacom_intuos_pro2_bt_pad(wacom); wacom_intuos_pro2_bt_battery(wacom); } else { wacom_intuos_gen3_bt_pad(wacom); wacom_intuos_gen3_bt_battery(wacom); } Her bir alt ayrıştırıcı, wacom->data içeriğine sabit ofsetlerle erişir. Her daldaki en uzak bayt şöyledir: INTUOSP2_BT / INTUOSP2S_BT: wacom_intuos_pro2_bt_pad() data[285] (dokunmatik halka baytı) okur, bu nedenle rapor en az 286 bayt olmalıdır; INTUOSHT3_BT ("gen3"): wacom_intuos_gen3_bt_battery() data[45] okur, bu nedenle rapor en az 46 bayt olmalıdır. features.type, VID/PID id_table girişinden seçilir ve wacom_setup_device_quirks() rapor tanımlayıcıdan bağımsız olarak o tür için kalem/ped/dokunmatik girişlerini zorla kaydeder; böylece kötü niyetli veya arızalı eşleşmiş/sahte bir Bluetooth çevre birimi, söz konusu VID/PID'yi beyan edebilir ve hala data[0] == 0x80/0x81 denetimini sağlayan yetersiz boyutlu bir rapor gönderebilir. Sürücü daha sonra alınan raporun ötesini okur ve baytları evdev üzerinden kullanıcı alanına (kalem ve ped giriş düğümlerinde MSC_SERIAL / ABS_MISC / ABS_WHEEL şeklinde) iletir; bu durum, somut bir kullanıcı alanı geri okuma kanalı olan bir sınır dışı okuma (out-of-bounds read) hatasıdır ve destekleyici tampon belleği sabit boyutlu bir hazırlık tamponu yerine (küçük) rapor tanımlayıcısına göre boyutlandırılmış taşıma katmanlarında gerçek bir sınır dışı okumadır. Bu, kardeş fonksiyon wacom_intuos_bt_irq() içerisinde zaten düzeltilmiş olan ve her rapor kimliğini ayrıştırmadan önce minimum uzunluğuna karşı koruyan 2f1763f62909 ("HID: wacom: fix out-of-bounds read in wacom_intuos_bt_irq") commit'i ile aynı hata sınıfındadır. wacom_intuos_pro2_bt_irq() fonksiyonu da benzer şekilde korunmuştur: Ayrıştırmadan önce, seçilen dalın gerçekten eriştiği en uzak ofsetten daha kısa olan raporlar reddedilir, uyarı verilir ve işlemden çıkılır. Tüm kalem/dokunmatik/ped/pil zinciri her dalda koşulsuz olarak çalıştığından, maksimum ofsete karşı yapılan tek bir ön kontrol (INTUOSP2_BT/INTUOSP2S_BT için 286 bayt, gen3 dalı için 46 bayt) tüm alt ayrıştırıcıları sınırlar. Kısa bir raporda 0 döndürülmesi, aynı hatalı rapor için bu çağrıların atlanmasını sağlar ki bu güvenli ve ihtiyatlı davranıştır.