CVE-2026-80800 in Linux
Zusammenfassung
von VulDB • 04.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
nfc: llcp: Begrenzung des TLV-Walks für connect_sn auf den skb
Das Commit 27256cdb290e („nfc: llcp: bound SNL TLV parsing to the skb and add length checks“) hat den unbeschränkten TLV-Walk in nfc_llcp_recv_snl() behoben, und das Commit d8bd2dedbde5 („nfc: llcp: fix OOB read and u8 offset wrap in TLV parsers“) hat anschließend nfc_llcp_parse_gb_tlv() sowie nfc_llcp_parse_connection_tlv() beschränkt. Ein weiterer Parser mit demselben Muster bleibt unbeschränkt: nfc_llcp_connect_sn().
nfc_llcp_connect_sn() durchläuft eine TLV-Liste, liest einen zwei Byte langen Header (Typ, Länge) und anschließend die als Länge angegebenen Bytes des Werts, ohne zu prüfen, ob sich die beiden Header-Bytes oder die deklarierte Länge innerhalb des Puffers befinden. Es gibt einen Zeiger auf einen Dienstnamen von bis zu 255 Bytes zurück, der über das Ende des skb hinausweisen kann; dieser wird anschließend in nfc_llcp_sock_from_sn() von memcmp() verarbeitet. Darüber hinaus wurde tlv_array_len als „skb->len - LLCP_HEADER_SIZE“ vom Typ size_t berechnet, sodass ein CONNECT/CC-Frame mit einer Länge unterhalb der LLCP-Headers zu einem Unterlauf (Underflow) führt und die Schleife weit über den Puffer hinaus läuft.
nfc_llcp_connect_sn() ist von nfc_llcp_recv_connect() sowie nfc_llcp_recv_cc() aus erreichbar, d. h., von empfangenen CONNECT- und CC-PDUs. Eine nahegelegene NFC-Gerät kann dies ohne Authentifizierung erreichen; die LLCP-Link-Aktivierung erfolgt automatisch nach NFC-DEP, und der Dispatcher nfc_llcp_rx_skb() wendet keine Mindestlängensicherung an.
Der TLV-Walk wird nun zeigerbasiert durchgeführt, begrenzt durch skb_tail_pointer(skb), und jede deklarierte Länge wird vor der Verwendung validiert, entsprechend dem Ansatz, der bereits für nfc_llcp_recv_snl() verwendet wurde. Der Start des Walks bei &skb->data[LLCP_HEADER_SIZE] gegenüber dem Tail-Pointer beseitigt zudem den size_t-Unterlauf bei kurzen Frames.
Entdeckt durch die automatisierten Sicherheitsforschungstools von 0sec (https://0sec.ai).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.