原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。usb: typec: tcpm: svdm_consume_modes()におけるSVIDインデックスの検証に関する問題です。svdm_consume_modes()関数では、pmdata-＞svid_indexを配列のインデックスとして検証せずにpmdata-＞svidsからSVID値を読み取っていました。具体的には、 paltmode-＞svid = pmdata-＞svids[pmdata-＞svid_index];というコードがありました。pmdata-＞svid_indexがSVID_DISCOVERY_MAX（16）を超えて操作された場合、pmdata-＞svids配列の範囲外読み取りが発生してしまいます。pd_mode_dataはstruct tcpm_portに埋め込まれているため、svidsの範囲を超えたインデックスで読み取ると隣接フィールドを読み取ってしまうのです。具体的には、- インデックス16ではaltmodesのカウントを読み取る- インデックス18以降では、パートナーが提供するSVDM Discovery Modes VDOを含むaltmode_desc[]を読み取るという状況です。パートナーはaltmode_desc[0].vdoに任意のSVIDを挿入し、svid_indexを20に操作することで、paltmode-＞svidに任意に選択したSVIDを読み込ませ、typec_partner_register_altmode()経由で登録させることが可能でした。この問題を修正するために、svdm_consume_modes()内でpmdata-＞svids配列にアクセスする前に、pmdata-＞svid_indexが非負でかつpmdata-＞nsvidsより小さいことを検証するようにしました。