CVE-2026-74650 in Linux
요약
\~에 의해 VulDB • 2026. 08. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
staging: rtl8723bs: WMM_param_handler()의 OOB(범위 밖) 읽기 수정
WMM_param_handler()는 수신된 정보 요소(information element)로부터 고정 크기의 WMM 파라미터 요소를 복사할 때, 해당 요소가 충분히 긴지 여부를 확인하지 않습니다. 이로 인해 짧은 길이의 WMM IE(Internet Element)에 대해 범위 밖(out-of-bounds) 읽기가 발생합니다.
이 핸들러는 pIE->data + 6 위치에서 sizeof(struct WMM_para_element)(18바이트)를 읽으므로, pIE->length가 최소 24(WLAN_WMM_LEN) 이상이어야 합니다. 그러나 코드는 길이를 검증하지 않습니다. 호출자 세 명 중 두 명이 WMM OUI만 일치시킨 후 이 핸들러에 도달합니다: rtw_mlme_ext.c의 OnAssocRsp()는 6바이트 OUI와 매칭되고, join_cmd_hdl()은 4바이트 OUI와 매칭된 후 핸들러를 호출합니다. WMM OUI를 포함하지만 길이가 6~23 사이인 벤더 고유 IE가 연관 응답(association response)이나 join_cmd_hdl()에 전달되는 IE 블롭(blob) 내에 배치되면, 이는 OUI 검사를 통과한 후 pIE->data + 6에서 memcmp() 및 memcpy() 연산을 수행하여 요소의 끝을 넘어 읽게 됩니다. OnAssocRsp()는 AP로부터 수신된 프레임을 파싱하므로, 이 취약점은 원격 피어(remote peer)로부터 접근 가능합니다.
rtw_wlan_util.c에 있는 나머지 호출자는 이미 "pIE->length == WLAN_WMM_LEN"로 핸들러를 보호하고 있습니다. 동일한 검사를 핸들러 내부로 이동하여 모든 호출자가 커버되도록 합니다; 같은 파싱 루프 내의 형제 IE 핸들러(HT_caps_handler(), HT_info_handler(), ERP_IE_handler()) 역시 pIE->length에 의해 접근 범위를 제한합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.