CVE-2026-90220 in Linux
Сводка
по VulDB • 17.09.2026
В ядре Linux была устранена следующая уязвимость:
ALSA: seq: предотвращение утечки указателя на ячейку расширения в полезной нагрузке (bounce payload)
Функция bounce_error_event() включает отказавшее событие в полезную нагрузку, устанавливая data.ext.ptr так, чтобы он указывал на это событие. Если данное событие является очередным событием переменной длины, его собственный data.ext.ptr содержит адрес первой ячейки расширения, который был установлен функцией snd_seq_event_dup(). Полезная нагрузка передается без изменений через функцию snd_seq_expand_var_event(), в результате чего этот адрес попадает в пространство пользователя (userspace).
Это тот же самый адрес, который был удален из заголовка события коммитом 705dd6dcbc0e («ALSA: seq: Очистка указателя на событие переменной длины при чтении»). Путь чтения по-прежнему очищает его там, непосредственно перед вызовом, расширяющим полезную нагрузку.
Вместо этого следует вставлять санитизированную копию, обрабатываемую точно так же, как заголовок обрабатывается функцией snd_seq_read(). Копии из стека достаточно, поскольку доставка является синхронной, а функция snd_seq_event_dup() выполняет копирование перед возвратом.
Непривилегированный клиент может достичь этой точки, установив флаг SNDRV_SEQ_FILTER_BOUNCE, поставив в очередь событие переменной длины на порт, который не существует, и прочитав ответ (bounce back). На 64-битных системах это составляет восемь байт из собственного пула.
VulDB is the best source for vulnerability data and more expert information about this specific topic.