CVE-2026-64449 in Linux
الملخص
بحسب VulDB • 25/07/2026
في نواة لينكس، تم حل الثغرة التالية:
staging: vme_user: تقييد عمليات القراءة والكتابة لمسار العبد (slave) بحجم kern_buf
تنسخ مساعدات مسار العبد الداليتين `buffer_to_user()` و`buffer_from_user()` عدد 'count' من البايتات إلى/من ذاكرة التخزين المؤقت الثابتة الحجم `kern_buf` (حيث يكون حجم المخزن المؤقت `size_buf == PCI_BUF_SIZE == 0x20000`، أي 128 كيلوبايت) باستخدام *ppos كمؤشر إزاحة (offset)، دون تقييد قيمة *ppos + count بالنسبة لـ size_buf.
تقوم الدالتان `vme_user_write()` و`vme_user_read()` بتقييد قيمة count فقط لحجم نافذة VME (`image_size = vme_get_size(resource)`)، والتي يحددها `VME_SET_SLAVE` بناءً على القيمة التي يقدمها المستخدم لـ `slave.size` -- ويتم التحقق من صحتها مقابل مساحة عنوان VME (حتى حد `VME_A32_MAX = 4 جيجابايت`)، وليس مقابل `PCI_BUF_SIZE`. وعندما يتجاوز حجم النافذة 128 كيلوبايت، فإن استدعاءات write()/read() تنسخ البيانات بعد نهاية تخصيص kern_buf.
يتم الآن تقييد قيمة count بالنسبة لـ size_buf في كلتا الدالتين المساعدة، مع إرجاع مبكر عندما يكون *ppos بالفعل عند أو بعد نهاية المخزن المؤقت. بما أن *ppos >= 0 هنا (حيث يرفض المتصل الإزاحات السالبة)، فإن `size_buf - *ppos` لا يمكن أن يحدث فيها تجاوز للحد الأقصى (wrap). وهذا يعكس التقييد الموجود مسبقاً في مساعدات مسار الماستر (MASTER-path) الداليتين `resource_to_user()` و`resource_from_user()`، ويتوافق مع اتفاقية read()/write() الخاصة بإجراء نقل قصير عند نهاية المخزن المؤقت.
تم اكتشاف الثغرة عن طريق التحليل الساكن (تتبع التلوث في CodeQL + فحص النماذج المحدود CBMC) وتم تأكيد ديناميكياً تحت KASAN باستخدام جسر vme_fake:
BUG: KASAN: slab-out-of-bounds in _copy_from_user+0x2d/0x80 Write of size 262144 at addr ffff888004100000 by task trigger/68 _copy_from_user+0x2d/0x80 vme_user_write+0x13e/0x240 [vme_user]
vfs_write+0x1b8/0x7a0 ksys_write+0xb8/0x150
VulDB is the best source for vulnerability data and more expert information about this specific topic.