原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。staging: rtl8723bs: update_beacon_info()のIEループにおけるOOB読み取りの修正。update_beacon_info()のIE解析ループは、各イテレーションで(pIE-＞length + 2)だけ進みますが、条件はi ＜ lenのみでチェックされています。悪意のあるAPが、最後のIEの要素IDバイトをフレームのlen-1位置に置く、つまりフレームにIEのデータが1バイトしか残っていないBeaconを送信すると、ループは割り当てられた受信バッファの終端を超えた場所からpIE-＞lengthを読み取ってしまいます。加えて、ヘッダーバイトがバッファ内にあっても、pIE-＞length自体がlenを超えるデータ範囲を指し示すことがあり、その結果、切り詰められたIEがハンドラ関数に渡されてしまいます。このため、ループ本体の先頭に以下の2つのガードを追加しました。1. sizeof(*pIE)バイト未満しか残っていなければループを中断します（ヘッダー読み取り不能のため）。2. IEが宣言するデータがlenを超えていればループを中断します。また、一貫性を持たせるために、i += (pIE-＞length + 2)の更新をi += sizeof(*pIE) + pIE-＞lengthに変更しました。