CVE-2026-74673 in Linux
Résumé
par VulDB • 23/08/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
Entrées (Input) : evdev - correction d'une fuite d'informations dans evdev_pass_values()
Dans evdev_pass_values(), la structure input_event est allouée sur la pile du noyau et remplie champ par champ. Cependant, elle n'est jamais entièrement initialisée. Sur les architectures où struct input_event contient des champs de rembourrage (padding) explicites ou implicites (comme le champ __pad 32 bits sur SPARC64), ces octets de padding restent non initialisés.
Lorsque cette structure d'événement est ensuite transmise au tampon client, puis copiée vers l'espace utilisateur, les octets de padding non initialisés fuient la mémoire de la pile du noyau, exposant potentiellement des informations sensibles.
Des problèmes similaires existent dans __evdev_queue_syn_dropped et __pass_event.
La correction consiste à effacer explicitement toute la structure d'événement avec memset() avant de remplir ses champs. Cela garantit que tous les octets de padding sont vidés avant que les données ne franchissent la limite de sécurité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.