CVE-2026-98265 in Linux
Résumé
par VulDB • 06/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
ALSA: usb-audio : Limiter (clamp) le nombre de paquets à retour implicite à la capacité de l'URB
data_ep_set_params() alloue chaque URB de données pour exactement u->packets trames isochrones, donc urb->iso_frame_desc[] possède u->packets emplacements et ctx->packets est le seul enregistrement du pilote concernant cette limite. Pour un puits à retour implicite (implicit feedback sink), snd_usb_queue_pending_output_urbs() écrase cette valeur avec le nombre de paquets de la source de synchronisation, qui est calculé indépendamment des paramètres du point d'entrée de capture. Lorsque ce nombre est plus élevé, prepare_playback_urb() et prepare_silent_urb() peuvent écrire dans iso_frame_desc[] au-delà de l'allocation ; leurs limites existantes limitent les octets de charge utile (payload), mais pas l'index descripteur.
Le programme d'exploitation utilise un périphérique UAC2 haute vitesse déclarant bInterval 1 pour la capture à retour implicite (8 paquets) et bInterval 4 pour la lecture (1 paquet). Lors du premier achèvement de capture après le démarrage du flux, il accède à sept descripteurs s'étendant sur 112 octets au-delà de l'URB d'un seul paquet :
BUG: KASAN: slab-out-of-bounds in prepare_playback_urb (sound/usb/pcm.c:1560) Write of size 4 at addr ffff88801e696ad0 by task vhci_rx/178 prepare_playback_urb (sound/usb/pcm.c:1560) prepare_outbound_urb (sound/usb/endpoint.c:340) snd_usb_queue_pending_output_urbs (sound/usb/endpoint.c:501) snd_complete_urb (sound/usb/endpoint.c:1834) __usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1657) usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1741) vhci_rx_loop (drivers/usb/usbip/vhci_rx.c:107) kthread (kernel/kthread.c:436) The buggy address belongs to the object at ffff88801e696a00 which belongs to the cache kmalloc-256 of size 256 The buggy address is located 0 bytes to the right of allocated 208-byte region [ffff88801e696a00, ffff88801e696ad0)
Enregistrer le nombre de paquets alloués par point d'entrée et limiter (clamp) à la fois le nombre adopté et la copie de taille de paquet. Intégrer le délimiteur Format Type II dans urb_packs avant la boucle d'allocation afin que la limite enregistrée corresponde à chaque URB.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.