Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - usb:gadget:f_fs:短い ep0 読み取りで受信したバイトのみをコピーします ffs_ep0_read() は、Setup パケットからの長さ値で kmalloc()(kzalloc ではなく)を使用して制御 OUT データバッファを割り当て、実際に受信したバイト数に関係なく、その完全な長さをユーザー空間にコピーします: data = kmalloc(len, GFP_KERNEL);...
    ret = __ffs_ep0_queue_wait(ffs、データ、長さ);if ((ret > 0) &; (copy_to_user(buf, data, len))) ret =
    -EFAULT;__ffs_ep0_queue_wait() は req->actual を返しますが、これはショートコントロール OUT 転送で厳密に len 未満です。copy_to_user() 呼び出しは依然として len バイトをコピーします。このため、短い OUT では、kmalloc() バッファの最後の(len - ret)バイト(初期化されていないスラブの残余)が FunctionFS デーモンに配信されます。
    短い ep0 OUT 完了は、指定された USB コントロール転送動作であり、ツリー内 UDC により生成されます:* dwc2 は、ep0 DATA OUT の req->actual < req->length で継続します(short-not-ok は唯一の ep0-OUT ストールパスです)。* aspeed_udc が ep->ep.maxpacket の ep0 OUT rx_len <終了します。* renesas_usbf ep0 ショートパケットを記録し、リクエストを完了します。* dwc3 は短い IN でストールしますが、短い OUT ではストールしません。したがって、短いep0 OUTはUDCが壊れている証拠ではありません。それはf_fs対処しなければならない正常な状態です。drivers/usb/gadget/legacy/inode.c の兄弟の gadgetfs 実装は、copy_to_user() の前の min(len, dev->req->actual) ですでにこれを正しく行っています。このパッチでは、f_fs.c を防御レイヤーでトリミングするのではなく、同じ安全なパターンにします。このバグは、FunctionFS デバイスノードから到達されます。これは、実際の展開では、権限のあるガジェットデーモン(adbd、UMS、コンポジットガジェットサービスなど)により所有されています。権限のないユーザー空間からは到達できません。Linux ホストスタックは通常、短い長さのコントロール OUT がガジェットに到達する前に拒否します。そのため、これを再現するにはホスト側のチェックをバイパスするビルドが必要でした。
    このバイパスが配置されている場合、64バイトのセットアップで1バイトのペイロードが、デーモンの読み取りバッファに63バイトの非カナリアスラブ残留物を生成します。ret(実際に受信した)バイトのみをユーザー空間にコピーすることにより修正します。
    (CVE-2026-63895)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-63895

high Nessus プラグイン ID 327918

バージョン 1.16