Odebrany

CVE-2026-98741

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: ua101: odrzucaj niedopasowane rozmiary pakietów przechwytywania/odtwarzania

Detect_usb_format() sprawdza krzyżowo bSubframeSize, bBitResolution i
tSamFreq pomiędzy interfejsami przechwytywania i odtwarzania, ale nigdy nie jest ze sobą powiązany
dwa punkty końcowe: wMaxPacketSize i bNrChannels. Każdy odtwarzany plik URB
pobiera bufor ua->playback.max_packet_bytes, natomiast liczba
zapisane w nim bajty pochodzą ze strumienia przechwytywania:
Capture_urb_complete() oblicza ramki z odebranego pakietu przechwytywania
i przechwytywania.frame_bytes oraz start_usb_playback() i playback_work()
pomnóż to przez playback.frame_bytes.

Urządzenie deklarujące duży przechwyt wMaxPacketSize z kilkoma przechwytywaniami
kanałów i małe odtwarzanie wMaxPacketSize z wieloma kanałami odtwarzania
dlatego memset() i memcpy() znajdują się poza końcem bufora odtwarzania,
w open() węzła PCM sterownik rejestruje się podczas sondy.
usb_submit_urb() odrzuca zbyt długi plik iso_frame_desc[0].length za pomocą
-EMSGSIZE, ale tylko po zapisie.

Odrzuć takie deskryptory w czasie sprawdzania. Oryginalny sprzęt UA-101/UA-1000
deklaruje proporcjonalne rozmiary pakietów i nie ma to na to wpływu.

BŁĄD: KASAN: płyta poza zakresem w start_usb_playback (sound/usb/misc/ua101.c:586)
Zapisz rozmiar 2048 pod adresem ffff8881098f3c00 za pomocą zadania exploit/5021
Zadzwoń do śledzenia:
__asan_memset (mm/kasan/cień.c:84)
start_usb_playback (dźwięk/usb/misc/ua101.c:586)
playback_pcm_open (dźwięk/usb/misc/ua101.c:679)
snd_pcm_open_substream (dźwięk/core/pcm_native.c:2829)
snd_pcm_open (dźwięk/core/pcm_native.c:2865 dźwięk/core/pcm_native.c:2932)
snd_pcm_playback_open (dźwięk/core/pcm_native.c:2891)
snd_open (dźwięk/rdzeń/dźwięk.c:166)
chrdev_open (fs/char_dev.c:411)
do_dentry_open (fs/open.c:996)
vfs_open (fs/open.c:1101)
ścieżka_openat (fs/nazwa.c:4837 fs/nazwa.c:5000)
do_file_open (fs/namei.c:5029)
do_sys_openat2 (fs/open.c:1417)
__x64_sys_openat (fs/open.c:1423 fs/open.c:1439 fs/open.c:1434)
do_syscall_64 (arch/x86/entry/syscall_64.c:61 arch/x86/entry/syscall_64.c:84)
wpis_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121)

Błędny adres należy do obiektu pod adresem ffff8881098f3c00
który należy do pamięci podręcznej kmalloc-192 o rozmiarze 192
Błędny adres znajduje się w odległości 0 bajtów
przydzielony region 168-bajtowy [ffff8881098f3c00, ffff8881098f3ca8)

In the Linux kernel, the following vulnerability has been resolved:

ALSA: ua101: reject mismatched capture/playback packet sizes

detect_usb_format() cross-checks bSubframeSize, bBitResolution and
tSamFreq between the capture and playback interfaces, but never relates
the two endpoints' wMaxPacketSize and bNrChannels. Each playback URB
gets a buffer of ua->playback.max_packet_bytes, while the number of
bytes written into it is derived from the capture stream:
capture_urb_complete() computes frames from the received capture packet
and capture.frame_bytes, and start_usb_playback() and playback_work()
multiply that by playback.frame_bytes.

A device declaring a large capture wMaxPacketSize with few capture
channels and a small playback wMaxPacketSize with many playback channels
therefore memset()s and memcpy()s past the end of the playback buffer,
in open() of the PCM node the driver registers during probe.
usb_submit_urb() rejects the over-long iso_frame_desc[0].length with
-EMSGSIZE, but only after the write.

Reject such descriptors at probe time. Genuine UA-101/UA-1000 hardware
declares proportional packet sizes and is unaffected.

BUG: KASAN: slab-out-of-bounds in start_usb_playback (sound/usb/misc/ua101.c:586)
Write of size 2048 at addr ffff8881098f3c00 by task exploit/5021
Call Trace:
__asan_memset (mm/kasan/shadow.c:84)
start_usb_playback (sound/usb/misc/ua101.c:586)
playback_pcm_open (sound/usb/misc/ua101.c:679)
snd_pcm_open_substream (sound/core/pcm_native.c:2829)
snd_pcm_open (sound/core/pcm_native.c:2865 sound/core/pcm_native.c:2932)
snd_pcm_playback_open (sound/core/pcm_native.c:2891)
snd_open (sound/core/sound.c:166)
chrdev_open (fs/char_dev.c:411)
do_dentry_open (fs/open.c:996)
vfs_open (fs/open.c:1101)
path_openat (fs/namei.c:4837 fs/namei.c:5000)
do_file_open (fs/namei.c:5029)
do_sys_openat2 (fs/open.c:1417)
__x64_sys_openat (fs/open.c:1423 fs/open.c:1439 fs/open.c:1434)
do_syscall_64 (arch/x86/entry/syscall_64.c:61 arch/x86/entry/syscall_64.c:84)
entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121)

The buggy address belongs to the object at ffff8881098f3c00
which belongs to the cache kmalloc-192 of size 192
The buggy address is located 0 bytes inside of
allocated 168-byte region [ffff8881098f3c00, ffff8881098f3ca8)

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve