Odebrany

CVE-2026-80973

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: 6fire: ograniczona długość zdarzenia MIDI z urządzenia

usb6fire_comm_receiver_handler() przekazuje zdarzenie MIDI przy użyciu długości
bajt dostarczany przez urządzenie, bez ograniczeń i bez sprawdzania, czy transfer
dostarczył tyle bajtów:

if (!urb->status) {
if (rt->receiver_buffer[0] == 0x10) /* midi w zdarzeniu */
jeśli (midi_rt)
midi_rt->in_received(midi_rt,
rt->bufor_odbiornika + 2,
rt->bufor_odbiornika[1]);
}

bufor_odbiornika to 64-bajtowy bufor kzalloc() (COMM_RECEIVER_BUFSIZE), więc
po dwubajtowym nagłówku znajdują się tylko 62 bajty. bufor_odbiornika[1] to u8
urządzenie wybiera, a więc urządzenie, które odpowiada 0x10 i długością 0xFF
sprawia, że snd_rawmidi_receive() odczytuje 255 bajtów, zaczynając od dwóch bajtów w a
Obiekt 64-bajtowy. Bajty za buforem są przekazywane do przestrzeni użytkownika
poprzez ścieżkę odczytu rawmidi.

urb->actual_length również nie jest konsultowany, więc następuje krótki transfer
zarówno bajt typu, jak i bajt długości przy ich poprzednich wartościach oraz
moduł obsługi działa na nieaktualnych danych.

Adres URB odbiornika jest przesyłany z usb6fire_comm_init() w sondzie, więc plik
odczyt odbywa się na wtyczce bez żadnej akcji użytkownika; przesyłanie również do przestrzeni użytkownika
potrzebuje otwartego podstrumienia wejściowego MIDI, ponieważ usb6fire_midi_in_received()
wywołuje funkcję snd_rawmidi_receive() tylko wtedy, gdy ustawiono rt->in.

KASAN na 7.2.0-rc5 (arm64), pojedynczy pakiet z emulowanego urządzenia:

BŁĄD: KASAN: płyta poza granicami w snd_rawmidi_receive
Odczytaj rozmiar 255 pod adresem ffff000009f64682 przez zadanie bash/183
__asan_memcpy
snd_rawmidi_receive
usb6fire_midi_in_received [snd_usb_6fire]
usb6fire_comm_receiver_handler [snd_usb_6fire]
Przydzielone przez zadanie 11:
usb6fire_comm_init [snd_usb_6fire]
sonda usb6fire_chip_sonda [snd_usb_6fire]
Błędny adres znajduje się 2 bajty wewnątrz
przydzielony region 64-bajtowy [ffff000009f64680, ffff000009f646c0)

Odrzuć zdarzenie, gdy długość przekracza bajty następujące po
nagłówek i wymagaj, aby transfer dostarczył nagłówek plus to
wiele bajtów. Odbiornik URB jest przesyłany z 64 bajtami
transfer_buffer_length, więc oryginalne urządzenie nie może dostarczyć zdarzenia
dłuższy niż te 62 bajty i nic ważnego nie jest usuwane.

Odkryte przez XBOW, sprawdzone przez Baula Lee <[email protected]>

In the Linux kernel, the following vulnerability has been resolved:

ALSA: 6fire: bound the MIDI event length from the device

usb6fire_comm_receiver_handler() forwards a MIDI event using a length
byte the device supplies, with no bound and no check that the transfer
delivered that many bytes:

if (!urb->status) {
if (rt->receiver_buffer[0] == 0x10) /* midi in event */
if (midi_rt)
midi_rt->in_received(midi_rt,
rt->receiver_buffer + 2,
rt->receiver_buffer[1]);
}

receiver_buffer is a 64-byte kzalloc() buffer (COMM_RECEIVER_BUFSIZE), so
only 62 bytes follow the two-byte header. receiver_buffer[1] is a u8 the
device chooses, so a device that answers with 0x10 and a length of 0xFF
makes snd_rawmidi_receive() read 255 bytes starting two bytes into a
64-byte object. The bytes past the buffer are handed to userspace
through the rawmidi read path.

urb->actual_length is not consulted either, so a short transfer leaves
both the type byte and the length byte at their previous values and the
handler acts on stale data.

The receiver URB is submitted from usb6fire_comm_init() at probe, so the
read happens on plug with no user action; forwarding to userspace also
needs a MIDI input substream open, since usb6fire_midi_in_received()
only calls snd_rawmidi_receive() when rt->in is set.

KASAN on 7.2.0-rc5 (arm64), single packet from an emulated device:

BUG: KASAN: slab-out-of-bounds in snd_rawmidi_receive
Read of size 255 at addr ffff000009f64682 by task bash/183
__asan_memcpy
snd_rawmidi_receive
usb6fire_midi_in_received [snd_usb_6fire]
usb6fire_comm_receiver_handler [snd_usb_6fire]
Allocated by task 11:
usb6fire_comm_init [snd_usb_6fire]
usb6fire_chip_probe [snd_usb_6fire]
The buggy address is located 2 bytes inside of
allocated 64-byte region [ffff000009f64680, ffff000009f646c0)

Reject the event when the length exceeds the bytes that follow the
header, and require the transfer to have delivered the header plus that
many bytes. The receiver URB is submitted with a 64-byte
transfer_buffer_length, so a genuine device cannot deliver an event
longer than those 62 bytes and nothing valid is dropped.

Discovered by XBOW, triaged by Baul Lee <[email protected]>

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve