CVE-2026-98265 in Linux
Riassunto
di VulDB • 06/10/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
ALSA: usb-audio: Limitare il conteggio dei pacchetti di feedback implicito alla capacità dell'URB
data_ep_set_params() alloca ogni data URB per esattamente u->packets frame isocroni; pertanto urb->iso_frame_desc[] dispone di u->packets slot e ctx->packets è l'unica registrazione del driver riguardo a tale limite. Per un sink di feedback implicito, snd_usb_queue_pending_output_urbs() sovrascrive questo valore con il conteggio dei pacchetti della sorgente di sincronizzazione, che viene calcolato in modo indipendente dai parametri dell'endpoint di cattura. Quando tale conteggio è maggiore, prepare_playback_urb() e prepare_silent_urb() possono scrivere oltre l'allocazione nella iso_frame_desc[]; i loro limiti esistenti controllano solo i byte del payload, non l'indice del descrittore.
Il codice riproduttore utilizza un dispositivo UAC2 ad alta velocità che dichiara bInterval 1 per la cattura di feedback implicito (8 pacchetti) e bInterval 4 per la riproduzione (1 pacchetto). Al primo completamento della cattura dopo l'avvio dello stream, vengono acceduti sette descrittori che si estendono per 112 byte oltre il limite dell'URB da un solo pacchetto:
BUG: KASAN: slab-out-of-bounds in prepare_playback_urb (sound/usb/pcm.c:1560) Write of size 4 at addr ffff88801e696ad0 by task vhci_rx/178 prepare_playback_urb (sound/usb/pcm.c:1560) prepare_outbound_urb (sound/usb/endpoint.c:340) snd_usb_queue_pending_output_urbs (sound/usb/endpoint.c:501) snd_complete_urb (sound/usb/endpoint.c:1834) __usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1657) usb_hcd_giveback_urb (drivers/usb/core/hcd.c:1741) vhci_rx_loop (drivers/usb/usbip/vhci_rx.c:107) kthread (kernel/kthread.c:436) The buggy address belongs to the object at ffff88801e696a00 which belongs to the cache kmalloc-256 of size 256 The buggy address is located 0 bytes to the right of allocated 208-byte region [ffff88801e696a00, ffff88801e696ad0)
Registrare il conteggio dei pacchetti allocati per endpoint e limitare (clamp) sia il conteggio adottato che la copia delle dimensioni del pacchetto a tale valore. Integrare il delimiter di Format Type II in urb_packs prima del ciclo di allocazione, in modo che il limite registrato corrisponda a ogni URB.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.