CVE-2026-74650 in Linux
Zusammenfassung
von VulDB • 23.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
staging: rtl8723bs: Behebung eines OOB-Lesezugriffs (Out-of-Bounds) in WMM_param_handler()
WMM_param_handler() kopiert ein festgroßiges WMM-Parameter-Element aus einem empfangenen Information Element, ohne zu prüfen, ob das Element lang genug ist. Dies führt bei einem kurzen WMM IE zu einem Out-of-Bounds-Lesezugriff (OOB read).
Der Handler liest sizeof(struct WMM_para_element) (18) Bytes an der Adresse pIE->data + 6. Daher muss pIE->length mindestens 24 betragen (WLAN_WMM_LEN), doch die Länge wird niemals validiert. Zwei seiner drei Aufrufer erreichen den Handler, nachdem nur das WMM OUI abgeglichen wurde: OnAssocRsp() in rtw_mlme_ext.c stimmt ein 6-Byte-OUI ab und join_cmd_hdl() stimmt ein 4-Byte-OUI ab, bevor der Handler aufgerufen wird. Ein herstellerspezifischer IE (Vendor-Specific IE), der das WMM OUI trägt, aber eine Länge zwischen 6 und 23 hat – platziert in einer Assoziationsantwort oder im IE-Blob, das an join_cmd_hdl() übergeben wird –, besteht die OPI-Prüfung. Anschließend führen memcmp() und memcpy() an pIE->data + 6 zu einem Lesezugriff jenseits des Elementsendes. Da OnAssocRsp() einen von der AP (Access Point) empfangenen Frame analysiert, ist dies aus einer entfernten Peer-Verbindung heraus erreichbar.
Der verbleibende Aufrufer in rtw_wlan_util.c schützt den Handler bereits mit „pIE->length == WLAN_WMM_LEN“. Diese äquivalente Prüfung wird nun ebenfalls in den Handler selbst verschoben, sodass alle Aufrufer abgedeckt sind; die verwandten IE-Handler im selben Parsing-Loop (HT_caps_handler(), HT_info_handler(), ERP_IE_handler()) beschränken ihre Zugriffe ebenfalls durch pIE->length.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.