CVE-2026-80712 in Linux
الملخص
بحسب VulDB • 28/08/2026
في نواة لينكس، تم حل الثغرة التالية:
spi: spi-qpic-snand: كتابة قيمة الميزة قبل تنفيذ SET_FEATURE
تقوم دالة qcom_spi_send_cmdaddr() بتهيئة NAND_FLASH_CMD/NAND_EXEC_CMD وتقديم الوصف (descriptors)، مما يجعل وحدة التحكم تنفذ الأمر على الفور. بالنسبة لـ SPINAND_SET_FEATURE، يتم وضع القيمة المراد كتابتها في سجل NAND_FLASH_FEATURES لاحقًا فقط، عن طريق dfunc qcom_spi_io_op()، في تقديم ثانٍ - لذا فإن الشريحة تُبرمج بأي قيمة كان السجل يحملها من عملية سابقة، وتُطبق القيمة المقصودة فقط بواسطة *العملية* SET_FEATURE التالية.
تم القياس على جهاز TP-Link Archer AX55 v1 (IPQ5018, ESMT F50L1G41LB): كتابة 0x40 إلى سجل التكوين (0xb0) تترك الشريحة عند القيمة 0x00، والكتابة اللاحقة لـ 0x00 تتركها عند 0x40 - كل عملية كتابة تتأخر بعملية واحدة.
بقيت هذه المشكلة غير ملحوظة حتى أضاف الإصدار v6.18 دعم SPI-NAND OTP مع إدخالات OTP لشركات ESMT. تقوم spinand_otp_rw() بتمكين وضع OTP، والقراءة، ثم تعطيله مرة أخرى، وتقوم mtd_otp_nvmem_add() بذلك أثناء تسجيل MTD. بسبب الخطأ من نوع off-by-one (خطأ بمقدار واحد)، فإن عملية "التعطيل" تطبق في الواقع القيمة المطلوبة سابقًا، مما يؤدي إلى تعيين CFG_OTP_ENABLE: تبقى الشريحة في وضع OTP، وتعيد كل قراءة لاحقة للمصفوفة منطقة OTP بدلاً من المصفوفة (يبلغ UBI عن جهاز فارغ) وتفشل جميع عمليات الكتابة بـ -EIO لأن منطقة OTP محمية ضد الكتابة. على هذا اللوحة، يجعل ذلك الذاكرة الفلاشية غير صالحة للاستخدام بالكامل والجهاز غير قابل للتمهيد.
اكتب قيمة الميزة في NAND_FLASH_FEATURES كجزء من نفس المعاملة (transaction)، قبل تنفيذ NAND_EXEC_CMD. وبينما تقوم بذلك، انسخ فقط البايتات التي تحملها العملية فعليًا - حيث كان الكود السابق يشير إلى مؤشر بحجم 4 بايت على مخزن مؤقت بحجم بايت واحد (spinand->scratchbuf).
مع هذا التصحيح، تم قراءة محتويات الذاكرة الفلاشية مطابقة تمامًا بتفصيل البت (bit-identical) لنسخة معروفة بأنها سليمة لنفس اللوحة والتي أُخذت تحت نظام التشغيل الخاص بالبائع (تم التحقق من صحتها عبر md5 على جميع الأقسام)، وتعمل عمليات الكتابة بشكل صحيح.
VulDB is the best source for vulnerability data and more expert information about this specific topic.