Odebrany

CVE-2026-98312

opublikowano: 06.10.2026, 11:18

modyfikacja: 06.10.2026, 11:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: 6fire: napraw zapis OOB na podstawie długości ISO zgłoszonej przez urządzenie

usb6fire_pcm_in_urb_handler() określa rozmiar każdego wychodzącego pakietu izochronicznego jako
(actual_length - 4) / (in_n_analog << 2) * (out_n_analog << 2) + 4, gdzie
faktyczna długość to długość bez znaku, którą urządzenie zgłosiło dla dopasowania
W pakiecie. Pakiet zakończony statusem 0 i rzeczywista długość < 4 owinięć
odejmowanie do 0x7fffffc; pakiet izochroniczny o zerowej długości jest legalny
na magistrali, a poprzednia pętla odrzuca tylko status niezerowy. Suma
osiąga memset() na out_urb->buffer, obiekcie o rozmiarze 4832 bajtów
kcalloc(PCM_MAX_PACKET_SIZE, PCM_N_PACKETS_PER_URB).

Nawet bez zawijania wynik jest poza zakresem: przy 88,2/96 kHz
Skalowanie 4 wejścia/6 wyjścia zamienia pełny 420-bajtowy pakiet IN w 628, czyli osiem
pakiety obejmują 5024 bajty tego bufora. usb_submit_urb() odrzuca
zbyt długi deskryptor tylko po memset() i
Uruchomiono kopię danych PCM użytkownika usb6fire_pcm_playback().

Strzeż odejmowania, tak jak robi to już rodzeństwo usb6fire_pcm_capture(),
i ogranicz liczbę ramek do tego, co mieści się w rt->out_packet_size, OUT
wMaxPacketSize punktu końcowego. Ogranicza to total_length przez rozmiar bufora
zachowując przy tym długość każdego pakietu dostosowaną do całej ramki wyjściowej.

BŁĄD: KASAN: poza zakresem w usb6fire_pcm_in_urb_handler (sound/usb/6fire/pcm.c:338)
Zapisz rozmiar 18446744073709551456 pod adresem ffff88802a3d0000 za pomocą zadania vhci_rx/5018
Zadzwoń do śledzenia:
dump_stack_lvl (lib/dump_stack.c:94 lib/dump_stack.c:120)
print_report (mm/kasan/report.c:378 mm/kasan/report.c:482)
kasan_report (mm/kasan/report.c:595)
kasan_check_range (mm/kasan/generic.c:186 mm/kasan/generic.c:200)
__asan_memset (mm/kasan/cień.c:84)
usb6fire_pcm_in_urb_handler (dźwięk/usb/6fire/pcm.c:338)
__usb_hcd_giveback_urb (sterowniki/usb/core/hcd.c:1657)
usb_hcd_giveback_urb (sterowniki/usb/core/hcd.c:1741)
vhci_rx_loop (sterowniki/usb/usbip/vhci_rx.c:107 sterowniki/usb/usbip/vhci_rx.c:242)
kthread (jądro/kthread.c:436)
ret_from_fork (arch/x86/kernel/process.c:158)
ret_from_fork_asm (arch/x86/entry/entry_64.S:245)

Przydzielone przez zadanie 10:
__kmalloc_cache_noprof (mm/slub.c:5563)
usb6fire_pcm_init (dźwięk/usb/6fire/pcm.c:560 dźwięk/usb/6fire/pcm.c:595)
usb6fire_chip_probe (dźwięk/usb/6fire/chip.c:133)
interfejs_sondy_usb (sterowniki/usb/rdzeń/sterownik.c:399)

Błędny adres należy do obiektu pod adresem ffff88802a3d0000
który należy do pamięci podręcznej kmalloc-8k o rozmiarze 8192
Błędny adres znajduje się w odległości 0 bajtów
Region 4832 bajtów [ffff88802a3d0000, ffff88802a3d12e0)
Panika jądra – brak synchronizacji: krytyczny wyjątek w przerwaniu

In the Linux kernel, the following vulnerability has been resolved:

ALSA: 6fire: fix OOB write from device-reported iso length

usb6fire_pcm_in_urb_handler() sizes each outgoing isochronous packet as
(actual_length - 4) / (in_n_analog << 2) * (out_n_analog << 2) + 4, where
actual_length is the unsigned length the device reported for the matching
IN packet. A packet completed with status 0 and actual_length < 4 wraps
the subtraction to 0x7fffffec; a zero-length isochronous packet is legal
on the bus, and the preceding loop rejects only non-zero status. The sum
reaches memset() on out_urb->buffer, a 4832-byte object from
kcalloc(PCM_MAX_PACKET_SIZE, PCM_N_PACKETS_PER_URB).

Even without the wrap the result is out of bounds: at 88.2/96 kHz the
4-in/6-out scaling turns a full 420-byte IN packet into 628, so eight
packets span 5024 bytes of that buffer. usb_submit_urb() rejects an
over-long descriptor only after the memset() and the
usb6fire_pcm_playback() copy of user PCM data have run.

Guard the subtraction as the sibling usb6fire_pcm_capture() already does,
and limit the frame count to what fits in rt->out_packet_size, the OUT
endpoint's wMaxPacketSize. This bounds total_length by the buffer size
while keeping each packet length aligned to a whole output frame.

BUG: KASAN: out-of-bounds in usb6fire_pcm_in_urb_handler (sound/usb/6fire/pcm.c:338)
Write of size 18446744073709551456 at addr ffff88802a3d0000 by task vhci_rx/5018
Call Trace:
dump_stack_lvl (lib/dump_stack.c:94 lib/dump_stack.c:120)
print_report (mm/kasan/report.c:378 mm/kasan/report.c:482)
kasan_report (mm/kasan/report.c:595)
kasan_check_range (mm/kasan/generic.c:186 mm/kasan/generic.c:200)
__asan_memset (mm/kasan/shadow.c:84)
usb6fire_pcm_in_urb_handler (sound/usb/6fire/pcm.c:338)
__usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1657)
usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1741)
vhci_rx_loop (drivers/usb/usbip/vhci_rx.c:107 drivers/usb/usbip/vhci_rx.c:242)
kthread (kernel/kthread.c:436)
ret_from_fork (arch/x86/kernel/process.c:158)
ret_from_fork_asm (arch/x86/entry/entry_64.S:245)

Allocated by task 10:
__kmalloc_cache_noprof (mm/slub.c:5563)
usb6fire_pcm_init (sound/usb/6fire/pcm.c:560 sound/usb/6fire/pcm.c:595)
usb6fire_chip_probe (sound/usb/6fire/chip.c:133)
usb_probe_interface (drivers/usb/core/driver.c:399)

The buggy address belongs to the object at ffff88802a3d0000
which belongs to the cache kmalloc-8k of size 8192
The buggy address is located 0 bytes inside of
4832-byte region [ffff88802a3d0000, ffff88802a3d12e0)
Kernel panic - not syncing: Fatal exception in interrupt

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve