CVE-2026-80693
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.3
- EPSS
- 0.1%
- CWE
- —
- KEV Durumu
- Hayır
Yayım tarihi: 28 Ağustos 2026
Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: idpf: bağlayıcı kesme vektörü kaydı doldurma işlemini tahsis edilen diziye bağlıyor idpf_get_reg_intr_vecs(), çağırıcı tarafından tahsis edilen reg_vals[] dizisini adapter->req_vec_chunks中的 VIRTCHNL2_OP_ALLOC_VECTORS yanıtından doldurur ve dahili döngüsünü yalnızca her bir parçanın num_vectors ile sınırlar. Dizi ayrı olarak boyutlandırılır: idpf_intr_reg_init(), caps.num_allocated_vectors'dan kzalloc_objs(struct idpf_vec_regs, total_vecs) tahsis eder ve yalnızca doldurmadan sonra döndürülen sayıyı kontrol eder. Her bir parçanın num_vectors toplamı asla total_vecs ile uzlaştırılmaz, bu nedenle num_allocated_vectors küçük ancak parçaların toplamı daha yüksek olan bir yanıt, reg_vals[] dizisinin sonundan sonra yazılır. Etki: num_allocated_vectors'ı aşan bir VIRTCHNL2_OP_ALLOC_VECTORS yanıtının per-parça num_vectors toplamına sahip bir kontrol düzlemi (bir PF veya hypervisor cihaz modeli) struct idpf_vec_regs girişlerini reg_vals kmalloc tahsisinin (KASAN slab-out-of-bounds yazma) sonundan sonra yazar. Doldurma döngüsünü çağırıcılar tarafından geçirilen dizi kapasitesine bağlıyor, kardeş idpf_vport_get_q_reg() işlemini yansıtıyor. Mevcut num_regs < num_vecs kontrolü daha sonra out-of-bounds yazma olmadan önce küçük bir yanıtı reddeder.
Orijinal açıklama (İngilizce)
In the Linux kernel, the following vulnerability has been resolved: idpf: bound interrupt-vector register fill to the allocated array idpf_get_reg_intr_vecs() fills the caller-allocated reg_vals[] array from the VIRTCHNL2_OP_ALLOC_VECTORS reply in adapter->req_vec_chunks, bounding its inner loop only by the per-chunk num_vectors. The array is sized separately: idpf_intr_reg_init() allocates kzalloc_objs(struct idpf_vec_regs, total_vecs) from caps.num_allocated_vectors and only checks the returned count after the fill. The sum of per-chunk num_vectors is never reconciled against total_vecs, so a reply with a small num_allocated_vectors but chunks summing higher writes past the end of reg_vals[]. Impact: a control plane (a PF or hypervisor device model) that returns a VIRTCHNL2_OP_ALLOC_VECTORS reply whose per-chunk num_vectors sum exceeds num_allocated_vectors writes struct idpf_vec_regs entries past the end of the reg_vals kmalloc allocation (KASAN slab-out-of-bounds write). Bound the fill loop to the array capacity passed in by the callers, mirroring the sibling idpf_vport_get_q_reg(). The existing num_regs < num_vecs check then rejects an undersized reply without the out-of-bounds write happening first.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.