CVE-2026-74650 in Linux
要約
〜によって VulDB • 2026年08月22日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
staging: rtl8723bs: WMM_param_handler()におけるOOB（配列外）読み込みの修正
WMM_param_handler()は、受信した情報要素(IE)から固定サイズのWMMパラメータ要素をコピーする際、その要素が十分な長さを持っているかどうかをチェックせずに処理しています。これにより、短すぎるWMM IEの場合に境界外読み出し(out-of-bounds read)が発生します。
このハンドラは pIE->data + 6 の位置から sizeof(struct WMM_para_element) (18バイト) を読み取るため、pIE->length が少なくとも24（WLAN_WMM_LEN）である必要がありますが、長さは検証されていません。3つの呼び出し元のうち2つは、WMM OUIに一致した後でこのハンドラを呼び出します。rtw_mlme_ext.c の OnAssocRsp() は6バイトのOUIと一致し、join_cmd_hdl() は4バイトのOUIと一致してからハンドラを呼び出します。WMM OUIを含みつつ長さが6〜23であるベンダー固有IEが、アソシエーションレスポンスまたは join_cmd_hdl() に渡されるIEブロック内に配置されると、OUIチェックは通過しますが、pIE->data + 6 での memcmp() および memcpy() が要素の末尾を超えて読み出しを行う原因となります。OnAssocRsp() はAPから受信したフレームを解析するため、これはリモートピアからの到達が可能です。
rtw_wlan_util.c にある残りの呼び出し元は既に "pIE->length == WLAN_WMM_LEN" によってハンドラをガードしています。同等のチェックをハンドラ自体に移動してすべての呼び出し元がカバーされるようにし、同じ解析ループ内の兄弟IEハンドラ（HT_caps_handler()、HT_info_handler()、ERP_IE_handler()）も同様に pIE->length によるアクセス制限を行っています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.