CVE-2026-64550 in Linux
الملخص
بحسب VulDB • 28/07/2026
في نواة لينكس، تم حل الثغرة التالية:
net: qualcomm: rmnet: التحقق من طول إطار MAP قبل معالجة الدخول (ingress parsing)
عندما يكون تفكيك الدخول معطلاً، يقوم `rmnet_map_ingress_handler()` بتوجيه حزمة skb مباشرة إلى `__rmnet_map_ingress_handler()`، متجاوزاً التحقق من الطول الذي تنفذه الدالة `rmnet_map_deaggregate()` في مسار التجميع. بعد ذلك، يحاول المحلل فك مرجع رأس MAP ورأس/ذيل مجموع التحكم (csum) بناءً على طول الحزمة (`pkt_len`) كما يظهر على السلك دون التحقق من `skb->len`، مما يؤدي إلى قراءة إطار قصير خارج الحدود المخصصة:
BUG: KASAN: slab-out-of-bounds in rmnet_map_checksum_downlink_packet Read of size 1 at addr ffff88801118ed00 by task exploit/147 Call Trace: ... rmnet_map_checksum_downlink_packet (drivers/net/ethernet/qualcomm/rmnet/rmnet_map_data.c:413) __rmnet_map_ingress_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:96) rmnet_rx_handler (drivers/net/ethernet/qualcomm/rmnet/rmnet_handlers.c:129) __netif_receive_skb_core.constprop.0 (net/core/dev.c:6089) netif_receive_skb (net/core/dev.c:6460) tun_get_user (drivers/net/tun.c:1955) tun_chr_write_iter (drivers/net/tun.c:2001) vfs_write (fs/read_write.c:688) ksys_write (fs/read_write.c:740) do_syscall_64 (arch/x86/entry/syscall_64.c:94) ...
تم فصل عملية التحقق من `rmnet_map_deaggregate()` ونقلها إلى دالة جديدة تسمى `rmnet_map_validate_packet_len()`, وتشغيلها أيضاً في المسار الخالي من التجميع. يتم أولاً فحص حدود رأس MAP، حيث يمكن أن يستقبل هذا المسار إطاراً أقصر من حجم الرأس نفسه.
VulDB is the best source for vulnerability data and more expert information about this specific topic.