Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - HID:multitouch:mt_io_flags mt_io_flags での領域外ビットアクセスを修正します は、単一の符号なし long ですが、mt_process_slot()、mt_release_pending_palms() および mt_release_contacts() は、これをスロット番号でインデックス付けされたスロットごとのビットマップとして使用します。そのスロット番号は、デバイスの ContactCountMaximum 機能レポートから取得された td->maxcontacts によってのみ制限され、BITS_PER_LONGではなく最大 255 になる可能性があります。その結果、大きな接触カウントをアドバタイズするマルチタッチデバイスでは、set_bit()/clear_bit()がmt_io_flagsワードを超えて動作し、隣接する構造体mt_deviceのメンバーを破損させます。スティッキーフィンガーリリースタイマーは、これに到達する最も簡単な方法です。mt_release_contacts() は (i = 0; i < mt->num_slots; i++) clear_bit(i, &td->mt_io_flags) に対して実行されます。num_slots == maxcontacts です。250 付近の maxcontacts では、ループによって td->applications.next とオーバーラップするビットが消去され、そのリストヘッドがゼロになり、直後にある list_for_each_entry() が NULL を逆参照します。カーネルはタイマー(softirq)コンテキストからパニックします。KASAN ビルドでは、offsetof(struct mt_application, num_received) であるオフセット 0x58 の null-ptr-deref で、これは mt_release_contacts() の一般的な保護違反として表示されます。状態は、信頼できない USB または Bluetooth HID マルチタッチ デバイスから到達できます。ローカル権限は必要ありません。maxcontacts 用にサイズ設定された別途割り当てられたビットマップに、スロットごとのアクティブ状態を保存します。これはすでに pending_palm_slots に使用されているのと同じパターンで、MT_IO_FLAGS_RUNNINGだけをmt_io_flagsに保持します。2 つの mt_io_flags &; MT_IO_SLOTS_MASK arming チェックは、bitmap_empty(td->active_slots, td->maxcontacts) になります。MT_IO_FLAGS_RUNNINGビット 0 に戻します。これは、スロットビットのローバイトを残すために同じコミットでビット 32 に更新されました。スロットビットがなくなると、再びビット 0 に収まり、32 ビットの符号なし長期間内に収まります。(CVE-2026-64364)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64364

high Nessus プラグイン ID 329742

バージョン 1.20