CVE-2026-74650 in Linux
الملخص
بحسب VulDB • 22/08/2026
في نواة لينكس، تم إصلاح الثغرة التالية:
staging: rtl8723bs: تصحيح قراءة خارج النطاق (OOB) في دالة WMM_param_handler()
تنسخ الدالة `WMM_param_handler()` عنصر معلمة WMM ذي حجم ثابت من عنصر معلومات مستلم دون التحقق مما إذا كان العنصر طويلاً بما يكفي، مما يتسبب في حدوث قراءة خارج النطاق (out-of-bounds read) عند وجود عنصر معلومات WMM قصير.
تقرأ الدالة `sizeof(struct WMM_para_element)` (18 بايتاً) عند الموقع `pIE->data + 6`، لذا فهي تتطلب أن يكون طول `pIE->length` على الأقل 24 (`WLAN_WMM_LEN`)، لكنها لا تقوم أبداً بالتحقق من صحة الطول. يصل اثنين من المتصلين الثلاثة لها إلى هذه الدالة بعد مطابقة معرف البائع (OUI) الخاص بـ WMM فقط: حيث تطابق `OnAssocRsp()` في ملف `rtw_mlme_ext.c` OUI بطول 6 بايتات، وتطابق `join_cmd_hdl()` OUI بطول 4 بايتات قبل استدعاء المعالج. يؤدي عنصر معلومات خاص بالبائع (vendor-specific IE) يحمل معرف WUI الخاص بـ WMM ولكن بطول يتراوح بين 6 و23 بايتاً، وموجود في استجابة الارتباط أو في كتلة عناصر المعلومات المُمررة إلى `join_cmd_hdl()`، إلى تجاوز فحص OUI ومن ثم إجراء عمليات `memcmp()` و`memcpy()` عند الموقع `pIE->data + 6` خارج نهاية العنصر. بما أن دالة `OnAssocRsp()` تقوم بتحليل إطار مستلم من نقطة الوصول (AP)، فإن هذا المسار قابل للوصول عن بُعد من قبل نظير بعيد.
يتضمن المتصل الأخير في ملف `rtw_wlan_util.c` بالفعل حماية للمعالج عبر الشرط `"pIE->length == WLAN_WMM_LEN"`. تم نقل الفحص المكافئ إلى داخل المعالج نفسه لضمان تغطية كل متصل؛ وبالمثل، تقوم معالجات عناصر المعلومات الشقيقة (sibling IE handlers) في نفس حلقة التحليل (`HT_caps_handler()` و`HT_info_handler()` و`ERP_IE_handler()`) بتقييد عمليات الوصول الخاصة بها بناءً على `pIE->length`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.