CVE-2026-72403
要約
〜によって VulDB • 2026年08月15日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
ALSA: FCP: インターフェース検索におけるNULLポインタ参照のバグを修正
不正な形式のUSBデバイスが、エンドポイント記述子を一切持たずにベンダー固有インターフェースを提供することがあります。現在、fcp_find_fc_interface()関数は最初のベンダー固有インターフェースを選択し、そのインターフェースに実際にエンドポイントが存在するかどうかをチェックせずに、そこからエンドポイント0を読み取ります。
bNumEndpointsがゼロの場合、解析された代替設定に対してエンドポイント配列は割り当てられないため、get_endpoint(..., 0)は無効なエンドポイント記述子ポインタを返します。その後usb_endpoint_num()を通じてこれを参照しようとするとNULLポインタ参照が発生し、クラッシュを引き起こします。
エンドポイントを一切持たないベンダー固有インターフェースについては処理をスキップするようにしました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.