CVE-2026-80800 in Linux
Сводка
по VulDB • 04.09.2026
В ядре Linux была устранена следующая уязвимость:
nfc: llcp: ограничение обхода TLV connect_sn в пределах skb
Коммит 27256cdb290e ("nfc: llcp: bound SNL TLV parsing to the skb and add length checks") исправил неограниченный обход TLV в функции nfc_llcp_recv_snl(), а коммит d8bd2dedbde5 ("nfc: llcp: fix OOB read and u8 offset wrap in TLV parsers") впоследствии ограничил вызовы функций nfc_llcp_parse_gb_tlv() и nfc_llcp_parse_connection_tlv(). Один из смежных парсеров, использующих тот же шаблон, остается неограниченным: nfc_llcp_connect_sn().
Функция nfc_llcp_connect_sn() осуществляет обход списка TLV, считывая двухбайтовый заголовок (тип, длина), а затем количество байт значения, указанное в длине, без проверки того, что два байта заголовка или объявленная длина остаются в пределах буфера. Она возвращает указатель на имя сервиса длиной до 255 байт, который может выходить за пределы skb; этот результат впоследствии потребляется функцией memcmp() внутри nfc_llcp_sock_from_sn(). Кроме того, tlv_array_len вычислялась как "skb->len - LLCP_HEADER_SIZE" типа size_t, поэтому кадр CONNECT/CC короче размера заголовка LLCP приводит к переполнению (underflow) до огромного значения длины, и обход выходит далеко за пределы буфера.
Функция nfc_llcp_connect_sn() доступна из функций nfc_llcp_recv_connect() и nfc_llcp_recv_cc(), то есть через полученные PDU CONNECT и CC. Ближайшее устройство NFC может получить доступ к этому без аутентификации; активация ссылки LLCP происходит автоматически после NFC-DEP, а диспетчер nfc_llcp_rx_skb() не применяет проверки минимальной длины.
Обход списка TLV осуществляется с использованием указателя, ограниченного значением skb_tail_pointer(skb), и каждая объявленная длина проверяется перед использованием, что соответствует подходу, уже примененному для функции nfc_llcp_recv_snl(). Начало обхода со значения &skb->data[LLCP_HEADER_SIZE] относительно tail-указателя также устраняет проблему переполнения (underflow) типа size_t для коротких кадров.
Обнаружено с помощью автоматизированных инструментов безопасности 0sec (https://0sec.ai).
VulDB is the best source for vulnerability data and more expert information about this specific topic.