Odebrany

CVE-2026-98836

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ALSA: linia 6: odrzucaj zbyt duże pakiety odtwarzania

Każdy URB odtwarzania otrzymuje dokładnie taki fragment bufora wyjściowego
LINE6_ISO_PACKETS * max_packet_size_out bajtów, rozmiar od OUT
końcowym, ale liczba bajtów zapisanych w tym wycinku nigdy nie jest równa
w porównaniu z nim.

Submit_audio_out_urb() pobiera liczbę klatek z prev_fsize, który
audio_in_callback() uzyskana z pakietu odebranego przez punkt końcowy *IN*
długość i przeskalowuje ją zgodnie z rozmiarem klatki odtwarzania; kiedy prev_fsize wynosi
nadal zero, zamiast tego syntetyzuje długość na podstawie częstotliwości próbkowania. Na
urządzenie deklarujące duży IN wMaxPacketSize i mały OUT
wMaxPacketSize, wynikową memcpy() lub memset(), gdy
strumień odtwarzania jest bezczynny, przebiega obok jego fragmentu i, podobnie jak odtwarzacz
poniżej pokazuje, poza alokacją.

usb_submit_urb() nie jest zabezpieczeniem. max_packet_size_out pochodzi z
usb_maxpacket(), która zwraca tylko 11 bitów wMaxPacketSize,
podczas gdy rdzeń USB sprawdza w oparciu o tę długość izochroniczną o dużej prędkości
baza skalowana przez usb_endpoint_maxp_mult(). Długość do trzech razy
przydzielony kawałek jest zatem akceptowany, a nawet odrzucony URB
odrzucone dopiero po zapisie.

Odrzuć pakiet, który nie pasuje do wycinka przydzielonego mu przez sterownik.
Zamiast tego zaciśnięcie go spowodowałoby ciche skrócenie szybkości uzyskiwanego przechwytywania
sprzężenie zwrotne i desynchronizować dwa strumienie.

BŁĄD: KASAN: płyta poza granicami w Submit_audio_out_urb (sound/usb/line6/playback.c:229)
Zapisz rozmiar 1024 pod adresem ffff888100bbd400 za pomocą zadania kworker/1:2/5002
Kolejka robocza: zdarzenia line6_startup_work
Zadzwoń do śledzenia:
__asan_memcpy (mm/kasan/cień.c:106)
Submit_audio_out_urb (dźwięk/usb/line6/playback.c:229)
line6_submit_audio_out_all_urbs (dźwięk/usb/line6/playback.c:291)
line6_stream_start (dźwięk/usb/line6/pcm.c:194)
line6_pcm_acquire (dźwięk/usb/line6/pcm.c:337)
line6_startup_work (dźwięk/usb/line6/driver.c:728)
proces_one_work (jądro/workqueue.c:3396)
wątek_pracownika (jądro/workqueue.c:3479 jądro/workqueue.c:3560)
kthread (jądro/kthread.c:436)
ret_from_fork (arch/x86/kernel/process.c:158)
ret_from_fork_asm (arch/x86/entry/entry_64.S:245)

Błędny adres należy do obiektu pod adresem ffff888100bbd400
który należy do pamięci podręcznej kmalloc-256 o rozmiarze 256
Błędny adres znajduje się w odległości 0 bajtów
przydzielony region 256-bajtowy [ffff888100bbd400, ffff888100bbd500)

In the Linux kernel, the following vulnerability has been resolved:

ALSA: line6: reject oversized playback packets

Each playback URB is handed a slice of out.buffer that is exactly
LINE6_ISO_PACKETS * max_packet_size_out bytes, sized from the OUT
endpoint, but the number of bytes written into that slice is never
compared against it.

submit_audio_out_urb() takes the frame count from prev_fsize, which
audio_in_callback() derived from the *IN* endpoint's received packet
length, and rescales it with the playback frame size; when prev_fsize is
still zero it synthesizes a length from the sample rate instead. On a
device declaring a large IN wMaxPacketSize and a small OUT
wMaxPacketSize, the resulting memcpy(), or the memset() when the
playback stream is idle, runs past its slice and, as the reproducer
below shows, beyond the allocation.

usb_submit_urb() is not a backstop. max_packet_size_out comes from
usb_maxpacket(), which returns only the low 11 bits of wMaxPacketSize,
while USB core validates a high-speed isochronous length against that
base scaled by usb_endpoint_maxp_mult(). A length of up to three times
the allocated slice is therefore accepted, and even a rejected URB is
only rejected after the write.

Reject a packet that does not fit the slice the driver allocated for it.
Clamping it instead would silently shorten the capture-derived rate
feedback and desynchronize the two streams.

BUG: KASAN: slab-out-of-bounds in submit_audio_out_urb (sound/usb/line6/playback.c:229)
Write of size 1024 at addr ffff888100bbd400 by task kworker/1:2/5002
Workqueue: events line6_startup_work
Call Trace:
__asan_memcpy (mm/kasan/shadow.c:106)
submit_audio_out_urb (sound/usb/line6/playback.c:229)
line6_submit_audio_out_all_urbs (sound/usb/line6/playback.c:291)
line6_stream_start (sound/usb/line6/pcm.c:194)
line6_pcm_acquire (sound/usb/line6/pcm.c:337)
line6_startup_work (sound/usb/line6/driver.c:728)
process_one_work (kernel/workqueue.c:3396)
worker_thread (kernel/workqueue.c:3479 kernel/workqueue.c:3560)
kthread (kernel/kthread.c:436)
ret_from_fork (arch/x86/kernel/process.c:158)
ret_from_fork_asm (arch/x86/entry/entry_64.S:245)

The buggy address belongs to the object at ffff888100bbd400
which belongs to the cache kmalloc-256 of size 256
The buggy address is located 0 bytes inside of
allocated 256-byte region [ffff888100bbd400, ffff888100bbd500)

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve