Ad

CVE-2026-74278

NONE EPSS 0.17%
Обновлено 17 августа 2026
Linux
Параметр Значение
Поставщик Linux
Публичный эксплойт Нет

В ядре Linux устранена следующая уязвимость: ALSA: seq: исправлена утечка адреса кучи ядра вounce_error_event(). Комментарий выше buge_error_event() документирует, что клиенты пользователя должен получить SNDRV_SEQ_EVENT_BOUNCE со встроенным исходным событием как данные переменной длины, в то время как клиенты ядра должны получать SNDRV_SEQ_EVENT_KERNEL_ERROR с указателем ядра в кавычках. Однако реализация безоговорочно использует SNDRV_SEQ_EVENT_KERNEL_ERROR с data.quote.event, установленным в необработанное значение Указатель struct snd_seq_event для всех клиентов.

Когда возникает ошибка возврата Событие доставляется USER_CLIENT через snd_seq_read(), ядро Адрес кучи в data.quote.event доступен пользовательскому пространству через copy_to_user() в ветке фиксированной длины. Это путь утечки, отличный от того, который указан в коммите. 705dd6dcbc0e («ALSA: seq: Очистить указатель события переменной при чтении»), который очищает data.ext.ptr в ветке переменной длины snd_seq_read(). Утечка Bounce_error_event() использует фиксированную длину события, которые принимают ветку else, где не происходит очистки.

Дифференцируйте событие возврата по типу клиента. Для USER_CLIENT, отправить SNDRV_SEQ_EVENT_BOUNCE с SNDRV_SEQ_EVENT_LENGTH_VARIABLE и data.ext, указывающий на исходное событие. Переменная длина путь в snd_seq_event_dup() копирует данные события в цепочку ячейки, а snd_seq_expand_var_event() копирует только содержимое — никогда не указатель -- на пользовательское пространство.

Для KERNEL_CLIENT сохраните существующее поведение SNDRV_SEQ_EVENT_KERNEL_ERROR с указанным указатель.

Показать оригинальное описание (EN)

In the Linux kernel, the following vulnerability has been resolved: ALSA: seq: Fix kernel heap address leak in bounce_error_event() The comment above bounce_error_event() documents that user clients should receive SNDRV_SEQ_EVENT_BOUNCE with the original event embedded as variable-length data, while kernel clients should receive SNDRV_SEQ_EVENT_KERNEL_ERROR with a quoted kernel pointer. However, the implementation unconditionally uses SNDRV_SEQ_EVENT_KERNEL_ERROR with data.quote.event set to the raw struct snd_seq_event pointer for all clients. When a bounce error event is delivered to a USER_CLIENT via snd_seq_read(), the kernel heap address in data.quote.event is exposed to userspace through copy_to_user() in the fixed-length branch. This is a distinct leak path from the one addressed by commit 705dd6dcbc0e ("ALSA: seq: Clear variable event pointer on read"), which sanitizes data.ext.ptr in the variable-length branch of snd_seq_read(). The bounce_error_event() leak uses fixed-length events that take the else branch where no sanitization occurs. Differentiate the bounce event by client type. For USER_CLIENT, send SNDRV_SEQ_EVENT_BOUNCE with SNDRV_SEQ_EVENT_LENGTH_VARIABLE and data.ext pointing to the original event. The variable-length path in snd_seq_event_dup() copies the event data into chained cells, and snd_seq_expand_var_event() copies only the content -- never the pointer -- to userspace. For KERNEL_CLIENT, keep the existing SNDRV_SEQ_EVENT_KERNEL_ERROR behavior with the quoted pointer.