CVE-2026-90018 in Linux
要約
〜によって VulDB • 2026年09月16日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
staging: rtl8723bs: rtw_get_wps_attr()におけるOOB読み出しおよびスタックオーバーフローの修正
rtw_get_wps_attr()は、ワイヤレス管理フレームから取得したWPS IE内のWPS属性を走査します。各候補属性について、固定された4バイトの属性ヘッダー（2バイトID + 2バイト長さ）がIE内に収まるかどうかのみをチェックしています：
if (attr_ptr + 4 > wps_ie + wps_ielen) break; u16 attr_id = get_unaligned_be16(attr_ptr); u16 attr_data_len = get_unaligned_be16(attr_ptr + 2); u16 attr_len = attr_data_len + 4;
attr_data_len（およびしたがってattr_len）はネットワークから直接読み取られ、memcpy()のサイズとして使用される前にIE内の残りのバイト数に対してチェックされません：
memcpy(buf_attr, attr_ptr, attr_len);
attr_lenは完全に攻撃者によって制御可能であるため（0〜65535+4）、これはwps_ieに対するヒープOOB読み出しであり、さらに深刻な問題として、buf_attrが単一バイトのスタック変数である複数の呼び出し元においてスタックバッファオーバーフローが発生します。例えば、rtw_get_wps_attr_content()の呼び出し元でWPS_ATTR_SELECTED_REGISTRARをスタック上の「u8 sr」/「u8 selected_registrar」（drivers/staging/rtl8723bs/os_dep/ioctl_cfg80211.c, drivers/staging/rtl8723bs/core/rtw_mlme_ext.c）に渡す場合などです。スキャン処理中に受信されたビーコンまたはプローブレスポンス内の悪意のあるWPS IEにより、パースングスレッドのスタックが破壊される可能性があります。
rtw_get_wps_attr_content()自体には独立した長さチェックがなく、rtw_get_wps_attr()から返されるattr_lenを信頼しているため、ここで境界をチェックして修正することで、その呼び出し元も同時に修正されます。
上記の「attr_ptr + 4 > wps_ie + wps_ielen」ヘッダーチェックは、コミット1463ca3ec6601（「staging: rtl8723bs: rtw_get_sec_ie()、rtw_get_wapi_ie()、およびrtw_get_wps_attr()におけるOOB読み出しの修正」）によって追加されました。このチェックは固定ヘッダーには境界を設けましたが、それに続く可変長の属性データに対するチェックまでは拡張していませんでした。attr_lenがmemcpy()の長さとして使用される前、または一致として受け入れられる前に、その欠落したチェックを追加します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.