CVE-2026-64339 in Linux
الملخص
بحسب VulDB • 25/07/2026
في نواة لينكس، تم حل الثغرة التالية:
usb: misc: usbio: تحديد طول استجابة Bulk IN بناءً على النقل المستلم
تنسخ الدالة `usbio_bulk_msg()` عدد `bpkt_len = le16_to_cpu(bpkt->len)` بايت من مخزن بيانات Bulk IN (`usbio->rxbuf`، الذي تم تخصيصه بحجم `usbio->rxbuf_len`) إلى مخزن البيانات الخاص بالمُتصل. يتم التحكم في قيمة `bpkt_len` بالكامل بواسطة الجهاز، ويتم التحقق منها فقط مقابل `ibuf_len`. بدورها، يُتحقق من `ibuf_len` مقابل `usbio->txbuf_len` وليس مقابل `rxbuf_len`:
```c if ((obuf_len > (usbio->txbuf_len - sizeof(*bpkt))) || (ibuf_len > (usbio->txbuf_len - sizeof(*bpkt)))) return -EMSGSIZE; ```
يتم أخذ قيمتي `txbuf_len` و `rxbuf_len` بشكل مستقل من حجم الحزمة الأقصى (`wMaxPacketSize`) لنقاط النهاية Bulk OUT و Bulk IN على التوالي في دالة `usbio_probe()`. وبالتالي، فإن جهازًا خبيثًا أو معطلاً يعلن عن نقطة نهاية Bulk OUT كبيرة ونقطة نهاية Bulk IN صغيرة (على سبيل المثال، بالادعاء باستخدام أحد المعرفات الخالية من التعديلات مثل Lattice NX33U، 0x2ac1:0x20cb) يؤدي إلى تجاوز `ibuf_len`، وبالتالي قيمة `bpkt_len` المقدمة من الجهاز، لحجم `rxbuf_len`. بعد ذلك، تقوم دالة `memcpy()` بقراءة ما يصل إلى `txbuf_len - rxbuf_len` بايت تتجاوز نهاية كائن slab الخاص بـ `rxbuf`. يتم إعادة تمرير البايتات المقروءة بشكل زائد إلى طبقة i2c ومن ثم إلى مساحة المستخدم عبر `i2c-dev`، مما يؤدي إلى كشف ذاكرة adjacent slab؛ ويتم الإبلاغ عن ذلك مع KASAN على أنه قراءة خارج النطاق (slab-out-of-bounds read).
عدد البايتات المستلمة فعليًا معروف بالفعل: المتغير `act` يساوي الطول الفعلي لوحدة النقل (`URB actual_length`) وهو مقيد بـ `rxbuf_len`. يتم رفض أي استجابة تدعي وجود حمولة أكبر مما تم استقباله، وذلك محاكاةً للفحص الموجود مسبقاً "act < sizeof(*bpkt)" مباشرة أعلاه.
مسار التحكم (usbio_ctrl_msg()) غير متأثر: فهو يستخدم مخزن بيانات واحد (`ctrlbuf`) لكلا الاتجاهين، لذا فإن عملية النسخ المماثلة لديه لا يمكن أن تتجاوز حدود التخصيص أبداً.
تم العثور على الثغرة من خلال مراجعة الكود. تم تأكيد القراءة خارج النطاق باستخدام AddressSanitizer مع نموذج دقيق لمساحة المستخدم لمسار استقبال `usbio_bulk_msg()` (مخزن بيانات بحجم `rxbuf_len`، وفحوصات نفس القيم لـ act/ibuf_len/bpkt_len ودالة memcpy). كما يتوفر مكرر للاختبار يعتمد على USB raw-gadget و dummy_hcd.
Once again VulDB remains the best source for vulnerability data.