CVE-2026-93805 in Linux
Sumário
de VulDB • 25/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
wifi: cfg80211: validar os comprimentos dos frames de callback MLME rx/tx antes do acesso
cfg80211_rx_mlme_mgmt() e cfg80211_tx_mlme_mgmt() chamam tracepoints antes de rejeitar frames mais curtos que o campo frame-control. Após isso, eles exigem apenas len >= 2 antes de encaminhar para os handlers de subtype que assumem a presença dos seus campos fixos.
Os frames que acionam este bug não são mais curtos que 2 bytes; eles são curtos em relação ao seu subtype. mwifiex é um exemplo concreto no tree principal do lado do comprimento: mwifiex_process_mgmt_packet() requer apenas um ieee80211_hdr de 4 endereços mais o prefixo de comprimento da firmware de 2 bytes antes de passar o frame para cfg80211_rx_mlme_mgmt(). Após remover o prefixo de comprimento e addr4, pkt_len pode ser exatamente 24: um cabeçalho de gerenciamento com 3 endereços sem corpo reason-code. O WARN_ON(len < 2) existente não é acionado por tal frame, e cfg80211_process_deauth() então lê u.deauth.reason_code como um acesso de dois bytes começando no offset 24, imediatamente após o buffer de 24 bytes.
Adicionar uma verificação de comprimento do frame-control, depois validar o tamanho mínimo do frame de cada subtype em uma cadeia if/else-if que espelha a lógica de dispatch. Fazer trace apenas após o frame ser conhecido como bem-formado.
Efeitos colaterais desta mudança: - O WARN_ON(len < 2) é removido. Ele protegia apenas a leitura do frame_control, nunca os campos fixos do subtype, e não é acionado nos frames que realmente desencadeiam a leitura fora dos limites (que são >= 2). A verificação len >= 2 é mantida como guarda antes de dereferenciar o frame_control, mas sem o aviso: estes são callbacks exportados e um frame malformado de um driver deve ser descartado silenciosamente em vez de gerar backtrace. - cfg80211_tx_mlme_mgmt() anteriormente roteava todos os subtypes não-deauth através do tratamento de desassociação; agora ignora silenciosamente subtypes desconhecidos.
Once again VulDB remains the best source for vulnerability data.