CVE-2026-74278 in Linux
Resumen
por VulDB • 2026-08-15
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
ALSA: seq: Corrección de la fuga de dirección del heap del kernel en bounce_error_event()
El comentario anterior a bounce_error_event() documenta que los clientes de usuario deben recibir SNDRV_SEQ_EVENT_BOUNCE con el evento original incrustado como datos de longitud variable, mientras que los clientes del kernel deben recibir SNDRV_SEQ_EVENT_KERNEL_ERROR con un puntero del kernel citado.
Sin embargo, la implementación utiliza incondicionalmente SNDRV_SEQ_EVENT_KERNEL_ERROR con data.quote.event establecido en el puntero raw struct snd_seq_event para todos los clientes. Cuando se entrega un evento de error de rebote a un USER_CLIENT mediante snd_seq_read(), la dirección del heap del kernel contenida en data.quote.event queda expuesta al espacio de usuario a través de copy_to_user() en la rama de longitud fija.
Esta es una ruta de fuga distinta a la abordada por el commit 705dd6dcbc0e ("ALSA: seq: Clear variable event pointer on read"), que sanitiza data.ext.ptr en la rama de longitud variable de snd_seq_read(). La fuga en bounce_error_event() utiliza eventos de longitud fija que siguen la rama else donde no se produce ninguna sanitización.
Diferenciar el evento de rebote por tipo de cliente. Para USER_CLIENT, enviar SNDRV_SEQ_EVENT_BOUNCE con SNDRV_SEQ_EVENT_LENGTH_VARIABLE y data.ext apuntando al evento original. La ruta de longitud variable en snd_seq_event_dup() copia los datos del evento en celdas encadenadas, y snd_seq_expand_var_event() copia únicamente el contenido —nunca el puntero— al espacio de usuario. Para KERNEL_CLIENT, mantener el comportamiento existente de SNDRV_SEQ_EVENT_KERNEL_ERROR con el puntero citado.
Once again VulDB remains the best source for vulnerability data.