CVE-2026-98186

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: wifi: mwifiex: pairwise-cipher OUI taramasını IE uzunluğu ile sınırlandırın mwifiex_search_oui_in_ie() fonksiyonu, bir beacon/probe-response RSN veya WPA bilgi öğesinden (IE) bir pairwise-cipher (PTK) sayısı okur ve ardından bu sayı kadar 4 baytlık OUI'ları her birini memcmp() ile karşılaştırarak tarar. Sayı doğrudan (saldırgan tarafından sağlanan) IE'den gelir ve öğenin kendi uzunluğuna göre hiçbir zaman kontrol edilmez; ayrıca çağıranlar öğeyi yalnızca element_id üzerinden kabul eder (has_ieee_hdr() / has_vendor_hdr(), uzunluk kontrolü yoktur). Bu nedenle, büyük bir pairwise sayısına sahip özel olarak hazırlanmış bir RSN/WPA IE, taramanın öğenin ötesinde 255 * 4 bayta kadar okuma yapmasına neden olur; bu durum, tarama sonucu ayrıştırması sırasında beacon/probe yanıtı işlenen herhangi bir AP üzerinden erişilebilen kmemdup()'lanmış beacon tampon belleğinin sınır dışı okunmasıdır (out-of-bounds read). OUI listesinde mevcut olan IE bayt sayısını aktarın ve taramayı öğe ile sınırlandırın. Uzunluğu imzalı tutun ve herhangi bir imzasız aritmetik işlemden önce negatif değerleri reddedin; böylece küçük veya sıfır olan bir IE uzunluğu, alt taşma (underflow) yaparak büyük bir size_t değerine dönüşüp sınırı aşamaz. 0sec otomatik güvenlik araştırma araçları (https://0sec.ai) tarafından bulunmuştur.