Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ALSA:FCP:初期化されていない init 応答をコピーしない fcp_ioctl_init() が応答バッファを kmalloc() で割り当て、バッファ全体をユーザー空間にコピーします:buf_size = init.step0_resp_size + init.step2_resp_size;無効 *resp __free(kfree) = kmalloc(buf_size, GFP_KERNEL);...if (copy_to_user(arg->resp, resp, buf_size)) return -EFAULT;バッファをクリアするものは何もなく、その先頭の step0_resp_size バイトの唯一の書き込み元は step-0 コントロール転送です: err = snd_usb_ctl_msg(dev, usb_rcvctrlpipe(dev, 0), FCP_USB_REQ_STEP0, USB_RECIP_INTERFACE |USB_TYPE_CLASS |USB_DIR_IN、0、private->bInterfaceNumber、step0_resp、private->step0_resp_size);if (err < 0) return err;
    usb_fill_control_urb() はURB_SHORT_NOT_OKを設定しないため、短いまたはゼロレングスのデータステージはステータス 0 で完了し、snd_usb_ctl_msg() は小さなactual_lengthを返します。チェックは err < 0 のみであるため、短い転送は成功として受け入れられます。snd_usb_ctl_msg() は無条件にフルサイズをコピーします: buf = kmemdup(data, size, GFP_KERNEL);...memcpy(データ、バッファ、サイズ);したがって、デバイスが書き込んだことのないバイトは、変更されずに resp に復元され、ユーザー空間にコピーされます。step0_resp_size と step2_resp_size はそれぞれ 1..255 までしか検証されないため、呼び出し元は kmalloc-8 から kmalloc-512 までのスラブキャッシュもピックアップします。7.2.0-rc5(arm64)で、デバイスがゼロレングスのデータステージでステップ0に応答、s0 = s2 = 255:# init_on_allocオフ、スプレーなしstep0ウィンドウ[0,255):nonzero=94/255 000:00 80 60 06 00 00 ff ff 18 00 00 00 57 01 ea 01 010:08 78 22 13 00 00 ff ff ff a8 c4 5f 80 00 80 ff ff #同じカーネル、 kmalloc-512 に 8 バイトのタグをあらかじめシード step0 ウィンドウ [0,255): nonzero=219/255 tagbytes=232 # 同一の実行、init_on_alloc=1 step0 ウィンドウ [0,255): nonzero=0/255 tagbytes=0 # 3 つの実行すべて step2 ウィンドウ [255,510): 一致するデバイスワード=62/62 a8 c4 5f 80 00 80 ff ff はリトルエンディアンカーネルのテキストアドレス ffff8000805fc4a8 です。ステップ 2 ウィンドウは影響を受けないため、漏洩はまさにステップ 0 領域です。バッファをゼロにし、ステップ 0 転送を要求して完全な step0_resp_size バイトを配信する必要があるため、短いデータステージがエラーとして報告されます。
    XBOW により発見され、Baul Lee <baul.lee@xbow.com> 氏によりトリアージされました(CVE-2026-80970)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-80970

high Nessus プラグイン ID 345261

バージョン 1.6