原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。staging: rtl8723bs: OnAuth()関数におけるWEP長のアンダーフローおよびOOB読み取りの修正です。OnAuth()には共有キー認証パスで2つのバグが存在します。Privacyビットがセットされている場合、rtw_wep_decrypt()はフレームが有効なWEP IVおよびICVを含むのに十分な長さであることを検証せずに呼び出されます。rtw_wep_decrypt()内での長さは以下のように計算されます： length = len - WLAN_HDR_A3_LEN - iv_len。その後、(length - 4)がcrc32_le()に渡されます。もしlenがWLAN_HDR_A3_LEN + iv_len + icv_len（32バイト）未満であれば、length - 4は負の値となり、size_t型への暗黙のキャストによりcrc32_le()がフレームバッファの範囲外を読み取ってしまいます。IVフィールドへアクセスし復号処理を呼び出す前に最小長のチェックを追加しました。シーケンス=3の応答を処理する際、rtw_get_ie()はChallenge Text IEの長さをie_lenに格納しますが、その後のmemcmp()はie_lenに関係なく常に128バイトを読み取っています。IEEE 802.11ではチャレンジテキストが正確に128バイトであることを規定しているため、OnAuthClient()ですでに適用されているチェックに合わせて、長さフィールドが異なるIEは拒否されるようにしました。