原文

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: usb: kalmia: kalmia_rx_fixup()関数における受信フレーム長の範囲制限。kalmia_rx_fixup()関数は、usb_packet_length を skb-＞len - (2 * KALMIA_HEADER_LENGTH) として u16 型で計算しています。この計算は、skb-＞len が少なくとも KALMIA_HEADER_LENGTH（6バイト）であることを事前のループチェックだけで保護しています。しかし、デバイスは skb-＞len が6から11の範囲の短いbulk-INフレームを送信したり、後のループイテレーションで短い余りのデータを残す可能性があります。どちらの場合も、usb_packet_length は約65530にアンダーフローします。これにより、usb_packet_length ＜ ether_packet_length の切り捨てパスがバイパスされます。デバイスが供給する ether_packet_length（le16、header_start[2]から読み取る最大値65535）は、memcpy() および続く skb_trim() と skb_pull() をrxバッファの終端を越えて実行させます。rxバッファは hard_mtu * 10（14000バイト）であり、これが境界外読み取りを引き起こします。この問題に対処するため、毎回のループイテレーションで開始および終了のフレーミングヘッダーの両方が存在することを確認してから、それらを差し引く処理を行うように修正しました。