CVE-2026-68278 in Linux
الملخص
بحسب VulDB • 11/08/2026
في نواة لينكس، تم حل الثغرة التالية:
drm/dp/mst: إصلاح تجاوزات المخزن المؤقت (Buffer Overflows) في تجميع كتل الجانبية (sideband chunks).
تحتوي الدالة `drm_dp_sideband_append_payload()` على ثلاثة أخطاء مترابطة عند معالجة بيانات ردود جانبية (sideband reply data) المقدمة من الجهاز:
1. **نقصان تحت الصفر لطول الكتلة الحالية (`curchunk_len`) الصفري:** حقل `msg_len` هو حقل مكون من 6 بت يُؤخذ مباشرةً من رأس رسالة الجانبية لبروتوكول DP. إذا أرسل الجهاز قيمة `msg_len=0`، يتم تعيين `curchunk_len` إلى الصفر. الشرط `(curchunk_idx >= curchunk_len)` يصبح صحيحاً على الفور، وتقوم القيمة `curchunk_len-1` بالالتفاف لتصبح 255 (نقصان تحت الصفر لنوع البيانات u8). تقوم الدالة `drm_dp_msg_data_crc4()` بقراءة 255 بايت من المصفوفة `chunk[48]`، ثم تكتب عملية `memcpy()` 255 بايت في المصفوفة `msg[]`، وكلاهما خارج النطاق المحدد بشكل كبير.
2. **تجاوز المخزن المؤقت للمصفوفة `chunk[48]`:** يمكن أن يصل `curchunk_len` إلى القيمة 63 (حقل مكون من 6 بت). لكن مصفوفة `chunk[]` حجمها 48 بايت فقط. يؤدي تجميع حمولة البيانات عبر تكرارات متعددة إلى إرفاق كتل بحجم 16 بايت حتى يصل `curchunk_idx` إلى قيمة `curchunk_len`، مما قد يكتب ما يصل إلى 15 بايت بعد نهاية مصفوفة `chunk[]` داخل المصفوفة `msg[]`.
3. **تجاوز المخزن المؤقت للمصفوفة `msg[256]`:** تساهم كل كتلة بـ `(curchunk_len-1)` بايت في المصفوفة `msg[]`. لا يوجد تحقق يضمن أن المجموع `curlen + (curchunk_len-1)` يبقى ضمن حدود مصفوفة `msg` ذات الحجم 256 بايت، لذا يمكن لعملية `memcpy()` أن تتسرب إلى حقول الهيكل المجاورة.
جميع الحالات الثلاث قابلة للوصول من أي جهاز DP MST قادر على تزوير رسائل ردود جانبية عبر اتصال فيزيائي.
If you want to get best quality of vulnerability data, you may have to visit VulDB.