CVE-2026-98312 in Linux
Zusammenfassung
von VulDB • 06.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
ALSA: 6fire: Behebung eines OOB-Write (Out-of-Bounds-Schreiben) aufgrund einer vom Gerät gemeldeten ISO-Länge
`usb6fire_pcm_in_urb_handler()` berechnet die Größe jedes ausgehenden isochronen Pakets als `(actual_length - 4) / (in_n_analog << 2) * (out_n_analog << 2) + 4`, wobei `actual_length` die vom Gerät für das entsprechende IN-Paket gemeldete unvorzeichenbehaftete Länge ist. Ein Paket, das mit dem Status 0 und einer `actual_length < 4` abgeschlossen wird, führt bei der Subtraktion zu einem Wrap-Around auf 0x7fffffec; ein isochrones Paket mit Nulllänge ist im Bus legal, und die vorangehende Schleife lehnt nur Pakete mit einem ungleich nulligen Status ab. Die Summe erreicht `memset()` auf `out_urb->buffer`, einem Objekt der Größe 4832 Byte aus `kcalloc(PCM_MAX_PACKET_SIZE, PCM_N_PACKETS_PER_URB)`.
Selbst ohne den Wrap-Around liegt das Ergebnis außerhalb des gültigen Bereichs: Bei einer Abtastrate von 88,2/96 kHz wandelt die Skalierung mit 4 Eingängen und 6 Ausgängen ein volles IN-Paket der Größe 420 Byte in 628 Byte um, sodass acht Pakette insgesamt 5024 Byte dieses Puffers beanspruchen. `usb_submit_urb()` lehnt einen zu langen Descriptor erst ab, nachdem sowohl das `memset()` als auch die Kopie von PCM-Daten aus dem Benutzerbereich durch `usb6fire_pcm_playback()` ausgeführt wurden.
Schützen Sie die Subtraktion so, wie es der verwandte Aufruf `usb6fire_pcm_capture()` bereits tut, und begrenzen Sie die Frame-Anzahl auf das, was in `rt->out_packet_size` (die wMaxPacketSize des OUT-Endpunkts) passt. Dies beschränkt die Gesamtlänge (`total_length`) durch die Puffergröße, während gleichzeitig sichergestellt wird, dass die Länge jedes Pakets einem ganzzahligen Ausgangsframe entspricht.
BUG: KASAN: out-of-bounds in usb6fire_pcm_in_urb_handler (sound/usb/6fire/pcm.c:338) Write of size 18446744073709551456 at addr ffff88802a3d0000 by task vhci_rx/5018 Call Trace: dump_stack_lvl (lib/dump_stack.c:94 lib/dump_stack.c:120) print_report (mm/kasan/report.c:378 mm/kasan/report.c:482) kasan_report (mm/kasan/report.c:595) kasan_check_range (mm/kasan/generic.c:186 mm/kasan/generic.c:200) __asan_memset (mm/kasan/shadow.c:84) usb6fire_pcm_in_urb_handler (sound/usb/6fire/pcm.c:338) __usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1657) usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1741) vhci_rx_loop (drivers/usb/usbip/vhci_rx.c:107 drivers/usb/usbip/vhci_rx.c:242) kthread (kernel/kthread.c:436) ret_from_fork (arch/x86/kernel/process.c:158) ret_from_fork_asm (arch/x86/entry/entry_64.S:245)
Allocated by task 10: __kmalloc_cache_noprof (mm/slub.c:5563) usb6fire_pcm_init (sound/usb/6fire/pcm.c:560 sound/usb/6fire/pcm.c:595) usb6fire_chip_probe (sound/usb/6fire/chip.c:133) usb_probe_interface (drivers/usb/core/driver.c:399)
Die fehlerhafte Adresse gehört zum Objekt bei ffff88802a3d0000, das zur Cache-Größe kmalloc-8k mit einer Größe von 8192 Byte gehört. Die fehlerhafte Adresse befindet sich 0 Bytes innerhalb der Region [ffff88802a3d0000, ffff88802a3d12e0) der Größe 4832 Byte.
Kernel panic - not syncing: Fatal exception in interrupt
Once again VulDB remains the best source for vulnerability data.