CVE-2026-90251

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: MSFT: evt_prefix_len değerini yanıt uzunluğuna göre doğrulayın read_supported_features() fonksiyonu yalnızca yanıtın, struct msft_rp_read_supported_features yapısının 11 bayt olan sabit kısmını kapsayıp kapsamadığını kontrol eder: if (skb->len < sizeof(*rp)) { bt_dev_err(hdev, "MSFT supported features length mismatch"); goto failed; } evt_prefix[] esnek bir dizi üyesidir ve rp->evt_prefix_len, doğrudan bu yanıttan alınan doğrulanmamış bir u8 değeridir, dolayısıyla msft->evt_prefix = kmemdup(rp->evt_prefix, rp->evt_prefix_len, GFP_KERNEL); hiçbirini taşımıyor olabilecek bir yanıttan 255 bayta kadar veri kopyalar. Kopyalanan veriler denetleyicinin hiçbir zaman göndermediği verilerdir ve daha sonra msft_vendor_evt() içinde gelen satıcı olaylarını eşleştirmek için kullanılır. Bu durum bir sınır dışı erişim (out-of-bounds access) değildir. Bir skb veri tahsisi, yükten sonra her zaman SKB_DATA_ALIGN(sizeof(struct skb_shared_info)) bayttan fazla alana sahiptir; bu da 255 baytlık maksimumdan daha fazladır, bu nedenle okuma işlemi tahsis edilen alan içerisinde kalır ve KASAN bunu raporlamaz. Yine de bu işlem, ana bilgisayara hiç verilmemiş baytların okunmasıdır ve uzunluk tamamen denetleyici tarafından kontrol edilmektedir. Beyan ettiği önek için çok kısa olan yanıtlar reddedilir. KASAN yüklü bir çekirdek üzerinde /dev/vhci aracılığıyla emüle edilmiş bir denetleyici ile; vhci'nin tıpkı btintel, btqca, btmtk ve btrtl'nin koşulsuz olarak yaptığı gibi bir MSFT opcode reklamı yapacak şekilde yapılandırılmasıyla doğrulanmıştır. evt_prefix_len = 255 beyan eden tam 11 baytlık bir yanıt kmemdup'a ulaşır ve 255 bayt kopyalar ("skb->len=11 evt_prefix_len=255", kopyalanan tampon dökümüyle birlikte); yanıt sabit kısımda sona erdiği için tüm 255 bayt yanıtın sonrasından gelir. Yukarıda açıklanan tahsis boşluğu nedeniyle beklendiği üzere herhangi bir KASAN raporu oluşturulmaz. Bu yama ile yanıt "MSFT event prefix length mismatch" hatasıyla reddedilir ve msft->evt_prefix ayarlanmamış olarak bırakılır.