CVE-2026-80951 in Linux
要約
〜によって VulDB • 2026年09月11日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
i3c: master: svc: IBIペイロードを要求されたmax_payload_lenに制限する
svc_i3c_master_handle_ibi()関数は、RX FIFOからIBIスロットへIBIペイロードを読み込みます。このループはスロットサイズではなく、ハードウェアFIFOのサイズ（SVC_I3C_FIFO_SIZE）によって制御されていました。
slot->dataはIBIプールを指しており、i3c_generic_ibi_alloc_pool()関数は各スロットに対してmax_payload_len分の領域を確保します。svc_i3c_master_request_ibi()関数は、max_payload_lenがSVC_I3C_FIFO_SIZEより大きい場合のみ拒否するため、ドライバはそれよりも小さい値を要求できます（例：mctp-i3cでは1を要求）。各readsb()呼び出しはコントローラのRXCOUNTバイト分（最大31バイト）をコピーしますが、スロットサイズとの照合チェックはありません。スロットの容量を超えるデータを送信するデバイスが存在すると、slot->dataの先頭を超えて書き込みが行われ、IBIプールに対する境界外書き込み（out-of-bounds write）が発生します。
この問題を解決するため、ループをdev->ibi->max_payload_lenで制限し、各読み取り処理をスロットに残された空き領域にクリンプ（clamp）します。これはdw-i3cが実施している手法と同じです。デバイスが要求されたペイロード量を超えるデータを送信することは依然として可能ですが、RX FIFOから残りのバイトをフラッシュすることで、それらが次の転送時に漏洩しないようにします。
If you want to get best quality of vulnerability data, you may have to visit VulDB.