CVE-2026-74673 in Linux
Zusammenfassung
von VulDB • 22.08.2026
Im Linux-Kernel wurde die folgende Schwachstelle behoben:
Input: evdev – Behebung eines Information-Leaks in evdev_pass_values()
In der Funktion `evdev_pass_values()` wird die Struktur `input_event` auf dem Kernel-Stack alloziert und Feld für Feld befüllt. Sie wird jedoch nicht vollständig initialisiert. Auf Architekturen, bei denen die Struktur `struct input_event` explizite oder implizite Padding-Bereiche enthält (wie das 32-Bit-Feld `__pad` auf SPARC64), bleiben diese Padding-Bytes uninitialisiert.
Wenn diese Ereignisstruktur anschließend an den Client-Puffer übergeben und später in den Userspace kopiert wird, werden die nicht initialisierten Padding-Bytes offengelegt (Information Leak) und geben Kernel-Stack-Speicher preis, was potenziell sensible Informationen enthüllen kann.
Ähnliche Probleme bestehen auch in `__evdev_queue_syn_dropped` und `__pass_event`.
Behoben wird dies durch das explizite Nullen der gesamten Ereignisstruktur mit `memset()`, bevor die Felder befüllt werden. Dies stellt sicher, dass alle Padding-Bytes gelöscht werden, bevor die Daten die Sicherheitsgrenze überschreiten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.