Odebrany

CVE-2026-89999

opublikowano: 16.09.2026, 13:17

modyfikacja: 16.09.2026, 17:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

HID: wacom: sprawdź długość raportu w wacom_intuos_pro2_bt_irq

wacom_intuos_pro2_bt_irq() odbiera długość raportu połączenia w `len`
ale nigdy nie konsultuje się z nim przed analizą. Po bramce z identyfikatorem raportu
bezwarunkowo wywołuje wacom_intuos_pro2_bt_pen(), a następnie wybiera
cechy.typ, stały łańcuch podparserów, z których żaden nie odbiera
`len`:

wacom_intuos_pro2_bt_pen(wacom);
if (typ == INTUOSP2_BT || typ == INTUOSP2S_BT) {
wacom_intuos_pro2_bt_touch(wacom);
wacom_intuos_pro2_bt_pad(wacom);
wacom_intuos_pro2_bt_battery(wacom);
} jeszcze {
wacom_intuos_gen3_bt_pad(wacom);
wacom_intuos_gen3_bt_battery(wacom);
}

Każdy podparser dereferuje dane wacom->ze stałymi przesunięciami. Najdalej
bajt dotknięty w każdej gałęzi to:

INTUOSP2_BT / INTUOSP2S_BT: wacom_intuos_pro2_bt_pad() odczytuje dane[285]
(bajt wzruszający), więc raport musi mieć co najmniej 286 bajtów;
INTUOSHT3_BT („gen3”): wacom_intuos_gen3_bt_battery() odczytuje dane[45],
dlatego raport musi mieć co najmniej 46 bajtów.

cechy.typ jest wybierany z wpisu tabeli identyfikatorów VID/PID i
wacom_setup_device_quirks() wymusza rejestrację danych wejściowych za pomocą pióra/padu/dotyku
dla tego typu niezależnie od deskryptora raportu, więc złośliwy lub
nieprawidłowe działanie sparowanego/sfałszowanego urządzenia peryferyjnego Bluetooth może to reklamować
VID/PID i wyślij niewymiarowy raport, który nadal spełnia wymagania
dane[0] == bramka 0x80/0x81. Następnie kierowca odczytuje otrzymaną wiadomość
raportuje i przekazuje bajty do przestrzeni użytkownika poprzez evdev (MSC_SERIAL /
ABS_MISC / ABS_WHEEL w węzłach wejściowych pióra i podkładki), przekroczenie zakresu
read z konkretnym kanałem odczytu przestrzeni użytkownika i true
out-of-bounds odczytane w transportach, których bufor zapasowy ma rozmiar zgodny z
(mały) deskryptor raportu zamiast bufora tymczasowego o stałym rozmiarze.

To jest ta sama klasa zatwierdzenia błędu 2f1763f62909 („HID: wacom: fix
out-of-bounds odczytane w wacom_intuos_bt_irq”) już zahartowane w
rodzeństwo wacom_intuos_bt_irq(), które chroni identyfikator każdego raportu przed jego identyfikatorem
minimalna długość przed analizą.

Strzeż wacom_intuos_pro2_bt_irq() w ten sam sposób: przed analizą odrzuć
raporty są krótsze niż najdalsze przesunięcie faktycznie wybranej gałęzi
wyłudzanie, ostrzeganie i ratowanie. Ponieważ cały długopis/dotyk/pad/
Łańcuch akumulatorów działa bezwarunkowo na odgałęzienie, wystarczy jedno sprawdzenie z góry
względem maksymalnego przesunięcia (286 bajtów dla INTUOSP2_BT/INTUOSP2S_BT,
46 bajtów dla gałęzi gen3) ogranicza każdy podparser. Zwracanie 0 włączone
krótki raport również pomija te wezwania do tego samego zniekształconego raportu,
co jest zachowaniem bezpiecznym i konserwatywnym.

In the Linux kernel, the following vulnerability has been resolved:

HID: wacom: validate report length in wacom_intuos_pro2_bt_irq

wacom_intuos_pro2_bt_irq() receives the wire report length in `len`
but never consults it before parsing. After the report-id gate it
unconditionally calls wacom_intuos_pro2_bt_pen() and then, selected by
features.type, a fixed chain of sub-parsers, none of which receive
`len`:

wacom_intuos_pro2_bt_pen(wacom);
if (type == INTUOSP2_BT || type == INTUOSP2S_BT) {
wacom_intuos_pro2_bt_touch(wacom);
wacom_intuos_pro2_bt_pad(wacom);
wacom_intuos_pro2_bt_battery(wacom);
} else {
wacom_intuos_gen3_bt_pad(wacom);
wacom_intuos_gen3_bt_battery(wacom);
}

Each sub-parser dereferences wacom->data at fixed offsets. The furthest
byte touched on each branch is:

INTUOSP2_BT / INTUOSP2S_BT: wacom_intuos_pro2_bt_pad() reads data[285]
(the touchring byte), so the report must be at least 286 bytes;
INTUOSHT3_BT ("gen3"): wacom_intuos_gen3_bt_battery() reads data[45],
so the report must be at least 46 bytes.

features.type is selected from the VID/PID id_table entry and
wacom_setup_device_quirks() force-registers the pen/pad/touch inputs
for that type independent of the report descriptor, so a malicious or
malfunctioning paired/spoofed Bluetooth peripheral can advertise that
VID/PID and send an undersized report that still satisfies the
data[0] == 0x80/0x81 gate. The driver then reads past the received
report and forwards the bytes to userspace via evdev (MSC_SERIAL /
ABS_MISC / ABS_WHEEL on the pen and pad input nodes), an out-of-bounds
read with a concrete userspace read-back channel, and a true
out-of-bounds read on transports whose backing buffer is sized to the
(small) report descriptor rather than a fixed-size staging buffer.

This is the same class of bug commit 2f1763f62909 ("HID: wacom: fix
out-of-bounds read in wacom_intuos_bt_irq") already hardened in the
sibling wacom_intuos_bt_irq(), which guards each report id against its
minimum length before parsing.

Guard wacom_intuos_pro2_bt_irq() the same way: before parsing, reject
reports shorter than the furthest offset the selected branch actually
dereferences, warn, and bail out. Because the whole pen/touch/pad/
battery chain runs unconditionally per branch, a single up-front check
against the maximum offset (286 bytes for INTUOSP2_BT/INTUOSP2S_BT,
46 bytes for the gen3 branch) bounds every sub-parser. Returning 0 on
a short report also skips those calls for the same malformed report,
which is the safe, conservative behavior.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve