JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032038 Linuxカーネルにおいて、以下の脆弱性が修正されました：usb: misc: usbio: 受信転送にバインドされたバルクIN応答の長さ。usbio_bulk_msg()は、バルクINバッファ（usbio-＞rxbuf、サイズusbio-＞rxbuf_lenで割り当てられている）から呼び出し元のバッファへbpkt_len = le16_to_cpu(bpkt-＞len)バイトをコピーします。bpkt_lenはデバイスによって完全に制御されており、ibuf_lenに対してのみチェックされます。ibuf_lenはusbio-＞txbuf_lenに対してチェックされますが、rxbuf_lenに対してはチェックされません。具体的には、以下の条件でエラーが返されます： if ((obuf_len ＞ (usbio-＞txbuf_len - sizeof(*bpkt))) || (ibuf_len ＞ (usbio-＞txbuf_len - sizeof(*bpkt)))) return -EMSGSIZE;txbuf_lenとrxbuf_lenはusbio_probe()内でバルクOUTおよびバルクINエンドポイントのwMaxPacketSizeからそれぞれ独立して取得されます。悪意のある、または誤動作するデバイスが大きなバルクOUTエンドポイントと小さなバルクINエンドポイント（例：Lattice NX33U 0x2ac1:0x20cbのようなクイークフリーIDの一つを主張する）を通知すると、ibuf_lenおよびそれに応じてデバイス提供のbpkt_lenがrxbuf_lenを超えてしまうことがあります。これにより、memcpy()はrxbufオブジェクトの終端をtxbuf_len - rxbuf_lenバイト分オーバーリードしてしまいます。このオーバーリードしたバイトはi2cレイヤに返され、さらにi2c-devを通してユーザ空間に渡され、隣接するスラブメモリが漏洩してしまいます。KASAN環境下ではこれはスラブの範囲外読み取りとして報告されます。実際に受信したバイト数はすでにact（URBのactual_length）により知られており、rxbuf_lenで制限されています。そのため、受信したペイロードより大きいと主張する応答は拒否されるべきであり、これは既存の「act ＜ sizeof(*bpkt)」チェックのすぐ上にあるものと対応しています。制御パス（usbio_ctrl_msg()）には影響がありません。制御パスは両方向で単一のバッファ（ctrlbuf）を使用しているため、類似のコピーが割り当て範囲外になることはありません。本脆弱性はコードレビューで発見されました。範囲外読み取りは、usbio_bulk_msg()の受信パスにおける忠実なユーザ空間モデル（rxbuf_lenサイズのバッファ、act/ibuf_len/bpkt_lenチェックおよびmemcpyを含む）をAddressSanitizer下で検証し、確認しています。USB raw-gadget + dummy_hcdを用いた再現環境も利用可能です。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032038.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64339 https://www.cve.org/CVERecord?id=CVE-2026-64339 National Vulnerability Database (NVD) CVE-2026-64339 https://nvd.nist.gov/vuln/detail/CVE-2026-64339 JVNDB CWE-125 https://cwe.mitre.org/data/definitions/125.html 関連文書 usb: misc: usbio: bound bulk IN response length to the received transfer - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/fc1b546973c1442d5b947fcdd03581f20ecc5bd2) https://git.kernel.org/stable/c/fc1b546973c1442d5b947fcdd03581f20ecc5bd2 関連文書 usb: misc: usbio: bound bulk IN response length to the received transfer - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/48394f94211cf8fe0ea8604fc441633abf90fc94) https://git.kernel.org/stable/c/48394f94211cf8fe0ea8604fc441633abf90fc94 関連文書 usb: misc: usbio: bound bulk IN response length to the received transfer - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/8c6314489550fa81d41723a0ff33f655b5b6c7b6) https://git.kernel.org/stable/c/8c6314489550fa81d41723a0ff33f655b5b6c7b6 2026-09-04T17:49:46+09:00 2026-09-04T17:49:46+09:00