Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - HID:wacom:wacom_intuos_pro2_bt_irq wacom_intuos_pro2_bt_irq() のレポート長を検証します。「len」でワイヤレポート長を受け取りますが、解析の前にそれを参照することはありません。report-id ゲートの後で、無条件に wacom_intuos_pro2_bt_pen() を呼び出し、続いて features.type により選択され、いずれも「len」を受信しないサブパーサーの固定チェーンが呼び出されます: wacom_intuos_pro2_bt_pen(wacom);if (type == INTUOSP2_BT || type == INTUOSP2S_BT) { wacom_intuos_pro2_bt_touch(wacom); wacom_intuos_pro2_bt_pad(wacom);
    wacom_intuos_pro2_bt_battery(wacom);} else { wacom_intuos_gen3_bt_pad(wacom);
    wacom_intuos_gen3_bt_battery(wacom);} 各サブパーサーは、固定オフセットで wacom->data を逆参照します。各ブランチで触れられた最も遠いバイトは、 INTUOSP2_BT / INTUOSP2S_BT です: wacom_intuos_pro2_bt_pad() はデータ [285] (タッチリングバイト) を読み取るため、レポートは少なくとも 286 バイトでなければなりません。INTUOSHT3_BT(gen3):
    wacom_intuos_gen3_bt_battery() はデータを読み込むため [45]、レポートは 46 バイト以上である必要があります。features.type が VID/PID id_tableエントリから選択され、wacom_setup_device_quirks() がレポート記述子とは無関係にそのタイプのペン/パッド/タッチ入力を強制登録するので、悪意のある、または誤動作のペアリング/偽装された Bluetooth 周辺機器がその VID/PID をアドバタイズし、依然として data[0] == 0x80/0x81 ゲートを満たすサイズより小さいレポートを送信する可能性があります。次に、ドライバーは受信したレポートを読み越し、evdev(ペンとパッドの入力ノードでのMSC_SERIAL/ABS_MISC/ABS_WHEEL)、具体的なユーザー空間リードバックチャンネルによる領域外読み取り、およびバッキングバッファが固定サイズのステージングバッファではなく(小さな)レポート記述子にサイズ設定されているトランスポートの真の領域外読み取りを介して、受信したレポートを読み越してバイトをユーザー空間に転送します。これは、兄弟 wacom_intuos_bt_irq() ですでに強化されているバグコミット 2f1763f62909(HID:wacom:wacom_intuos_bt_irq での領域外読み取りを修正)と同じクラスであり、解析前に各レポート ID をその最小長に対して保護します。同じ方法で wacom_intuos_pro2_bt_irq() をガードします:解析の前に、選択されたブランチが実際に逆参照、警告、および救済する最も遠いオフセットよりも短いレポートを拒否します。ペン/タッチ/パッド/バッテリーチェーン全体がブランチごとに無条件に実行されるため、最大オフセット(INTUOSP2_BT/INTUOSP2S_BT の場合は 286 バイト、gen3 ブランチの場合は 46 バイト)に対する 1 回の事前チェックによって、すべてのサブパーサーがバインドされます。短いレポートで 0 を返すと、同じ無効な形式のレポートに対する呼び出しもスキップされますが、これは安全で保守的な動作です。(CVE-2026-89999)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-89999

high Nessus プラグイン ID 346723

バージョン 1.4