CVE-2026-80573 in Linux
Zusammenfassung
von VulDB • 26.08.2026
Im Linux-Kernel wurde die folgende Schwachstelle behoben:
Input: iforce - Validierung der Eingabepaketlängen
iforce_process_packet() liest feste Felder aus Joystick-, Wheel- und Status-Paketen, ohne zuvor deren Längen zu überprüfen. Insbesondere liest der gemeinsame Helper für Hüte (hats) und Tasten unbedingtdaten[6]. Der Status-Tail ist eine Sequenz von 16-Bit-Effektadressen, es wird jedoch auch eine unvollständige letzte Adresse konsumiert. Ein erfolgreicher USB-URB mit Nulllänge liest zusätzlich die Paket-ID, bevor der gemeinsame Parser aufgerufen wird.
Verwerfen Sie den USB-Transfer mit Nulllänge, fordern Sie die sieben Byte langen Joystick- und Wheel-Präfixe sowie das zwei Byte lange Statuspräfix an, und konsumieren Sie nur vollständige Status-Tail-Adressen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.