Odebrany

CVE-2026-98265

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: usb-audio: Ogranicz liczbę pakietów z niejawną informacją zwrotną do pojemności URB

data_ep_set_params() przydziela każdy URB danych dokładnie dla pakietów u->
ramki izochroniczne, więc urb->iso_frame_desc[] ma szczeliny u->pakiety i
ctx->packets to jedyny zapis tego limitu w sterowniku. Dla dorozumianego
zlew sprzężenia zwrotnego, snd_usb_queue_pending_output_urbs() zastępuje je wartością
liczba pakietów źródła synchronizacji, która jest obliczana niezależnie od
przechwytuje parametry punktu końcowego. Gdy liczba ta jest większa,
przygotowanie_playback_urb() i przygotowanie_silent_urb() mogą pisać
iso_frame_desc[] poza alokacją; ich istniejące ograniczenia ograniczają ładunek
bajtów, a nie indeks deskryptora.

Odtwarzacz wykorzystuje szybkie urządzenie UAC2 deklarujące bInterval 1 dla
niejawne przechwytywanie sprzężenia zwrotnego (8 pakietów) i bInterval 4 do odtwarzania
(1 opakowanie). Po pierwszym zakończeniu przechwytywania po rozpoczęciu strumienia
uzyskuje dostęp do siedmiu deskryptorów obejmujących 112 bajtów poza jednopakietowym URB:

BŁĄD: KASAN: płyta poza granicami w przygotowaniu_playback_urb (sound/usb/pcm.c:1560)
Zapisz rozmiar 4 pod adresem ffff88801e696ad0 w zadaniu vhci_rx/178
przygotowanie_playback_urb (dźwięk/usb/pcm.c:1560)
przygotowanie_outbound_urb (dźwięk/usb/punkt końcowy.c:340)
snd_usb_queue_pending_output_urbs (dźwięk/usb/punkt końcowy.c:501)
snd_complete_urb (dźwięk/usb/punkt końcowy.c:1834)
__usb_hcd_giveback_urb (sterowniki/usb/core/hcd.c:1657)
usb_hcd_giveback_urb (sterowniki/usb/core/hcd.c:1741)
vhci_rx_loop (sterowniki/usb/usbip/vhci_rx.c:107)
kthread (jądro/kthread.c:436)
Błędny adres należy do obiektu pod adresem ffff88801e696a00
który należy do pamięci podręcznej kmalloc-256 o rozmiarze 256
Błędny adres znajduje się 0 bajtów na prawo od
przydzielony region 208-bajtowy [ffff88801e696a00, ffff88801e696ad0)

Zapisz przydzieloną liczbę pakietów na punkt końcowy i zablokuj oba przyjęte
count i kopię rozmiaru pakietu. Złóż ogranicznik formatu typu II
do urb_packs przed pętlą alokacji, aby zarejestrowany limit był zgodny
każde URB.

In the Linux kernel, the following vulnerability has been resolved:

ALSA: usb-audio: Clamp implicit feedback packet count to URB capacity

data_ep_set_params() allocates each data URB for exactly u->packets
isochronous frames, so urb->iso_frame_desc[] has u->packets slots and
ctx->packets is the driver's only record of that limit. For an implicit
feedback sink, snd_usb_queue_pending_output_urbs() overwrites it with the
sync source's packet count, which is calculated independently from the
capture endpoint's parameters. When that count is larger,
prepare_playback_urb() and prepare_silent_urb() can write
iso_frame_desc[] past the allocation; their existing bounds limit payload
bytes, not the descriptor index.

The reproducer uses a high-speed UAC2 device declaring bInterval 1 for
implicit feedback capture (8 packets) and bInterval 4 for playback
(1 packet). On the first capture completion after the stream starts, it
accesses seven descriptors spanning 112 bytes beyond the one-packet URB:

BUG: KASAN: slab-out-of-bounds in prepare_playback_urb (sound/usb/pcm.c:1560)
Write of size 4 at addr ffff88801e696ad0 by task vhci_rx/178
prepare_playback_urb (sound/usb/pcm.c:1560)
prepare_outbound_urb (sound/usb/endpoint.c:340)
snd_usb_queue_pending_output_urbs (sound/usb/endpoint.c:501)
snd_complete_urb (sound/usb/endpoint.c:1834)
__usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1657)
usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1741)
vhci_rx_loop (drivers/usb/usbip/vhci_rx.c:107)
kthread (kernel/kthread.c:436)
The buggy address belongs to the object at ffff88801e696a00
which belongs to the cache kmalloc-256 of size 256
The buggy address is located 0 bytes to the right of
allocated 208-byte region [ffff88801e696a00, ffff88801e696ad0)

Record the allocated packet count per endpoint and clamp both the adopted
count and the packet-size copy to it. Fold the Format Type II delimiter
into urb_packs before the allocation loop so the recorded limit matches
every URB.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve