CVE-2026-80800 in Linux
Riassunto
di VulDB • 04/09/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
nfc: llcp: limitare l'iterazione TLV connect_sn al buffer skb
Il commit 27256cdb290e ("nfc: llcp: bound SNL TLV parsing to the skb and add length checks") ha corretto l'iterazione non limitata dei TLV in nfc_llcp_recv_snl(), e il commit d8bd2dedbde5 ("nfc: llcp: fix OOB read and u8 offset wrap in TLV parsers") ha successivamente limitato le funzioni nfc_llcp_parse_gb_tlv() e nfc_llcp_parse_connection_tlv(). Un parser fratello che condivide lo stesso pattern rimane non limitato: nfc_llcp_connect_sn().
nfc_llcp_connect_sn() esegue un'iterazione su una lista TLV, leggendo un'intestazione a due byte (tipo, lunghezza) seguita da length bytes di valore, senza verificare che i due byte dell'intestazione o la lunghezza dichiarata rimangano all'interno del buffer. Restituisce un puntatore a un nome di servizio fino a 255 byte che può puntare oltre la fine dello skb; viene successivamente consumato da memcmp() in nfc_llcp_sock_from_sn(). Inoltre, tlv_array_len è stato calcolato come "skb->len - LLCP_HEADER_SIZE" in size_t, quindi un frame CONNECT/CC più corto dell'intestazione LLCP provoca un underflow a una lunghezza enorme e l'iterazione prosegue ben oltre il buffer.
nfc_llcp_connect_sn() è raggiungibile da nfc_llcp_recv_connect() e nfc_llcp_recv_cc(), ovvero dai PDU CONNECT e CC ricevuti. Un dispositivo NFC vicino può raggiungere questo punto senza autenticazione; l'attivazione del link LLCP avviene automaticamente dopo NFC-DEP, e il dispatcher nfc_llcp_rx_skb() non applica alcuna guardia di lunghezza minima.
Eseguire un'iterazione sulla lista TLV tramite puntatore, limitata da skb_tail_pointer(skb), e convalidare ogni lunghezza dichiarata prima dell'utilizzo, seguendo l'approccio già utilizzato per nfc_llcp_recv_snl(). Iniziare l'iterazione da &skb->data[LLCP_HEADER_SIZE] rispetto al tail pointer rimuove anche l'underflow di size_t per i frame corti.
Trovato tramite strumenti automatizzati di ricerca sulla sicurezza di 0sec (https://0sec.ai).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.