原文

Linuxカーネルにおいて、以下の脆弱性が修正されました：staging: rtl8723bs: OnAssocRsp() 内のIEループにおけるOOB読み取りの修正。OnAssocRsp()内のIE解析ループは、各イテレーションで (pIE-＞length + 2) だけ進みますが、条件としては i ＜ pkt_len のみを用いています。悪意のあるAPが最後のIEのフレーム内の残りが1バイトしかないAssocResponseを送信した場合（element_idバイトがpkt_len-1の位置にある場合）、ループは割り当てられた受信バッファを1バイト超えたpframe[pkt_len]からpIE-＞lengthを読み取ってしまいます。さらに、ヘッダーバイトが範囲内であっても、pIE-＞length自体がデータウィンドウをpkt_lenよりも越えて拡張してしまい、切り詰められたIEがハンドラ関数に静かに渡される可能性があります。これに対し、ループ本体の先頭に以下の2つのガードを追加しました： 1. sizeof(*pIE)バイト未満の残りがある場合はループを抜けます（ヘッダーを読み取ることができないため）。 2. IEが宣言するデータがpkt_lenの範囲を越える場合はループを抜けます。