CVE-2026-74507
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W jądrze Linux w podsystemie Bluetooth HIDP wykryto podatność polegającą na braku walidacji ładunku numerowanych raportów. Gdy hidp_get_raw_report() oczekuje na numerowany raport, hidp_process_data() porównuje oczekiwany numer raportu z skb->data[0]. Połączony peer HIDP może odpowiedzieć tylko nagłówkiem transakcji DATA, pozostawiając skb pusty po usunięciu nagłówka. Poprawka wymaga bajtu ładunku przed porównaniem numerowanego ID raportu; raporty nienumerowane nadal akceptują pusty ładunek.
Ocena ryzyka
Podatność może prowadzić do użycia niezainicjalizowanej pamięci lub akceptacji złośliwych odpowiedzi, co może być wykorzystane do ataku DoS lub naruszenia integralności danych.
Rekomendacja
Zastosuj aktualizację jądra Linux zawierającą poprawkę dla CVE-2026-74507. Ogranicz dostęp do Bluetooth dla nieufnych urządzeń.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: Bluetooth: HIDP: validate numbered report payloads When hidp_get_raw_report() waits for a numbered report, hidp_process_data() compares the expected report number with skb->data[0]. A connected HIDP peer can reply with only a DATA transaction header, leaving the skb empty after the header is removed. KMSAN reports an uninitialized-value use in hidp_session_run(), with the value originating in __alloc_skb() through vhci_write(). The transaction header checks remove the empty-frame reports, but this report remains until the payload check is added. The comparison can also consume a peer-controlled byte beyond the declared L2CAP PDU. A DATA | FEATURE response followed by an extra 0x01 byte made the current code accept that byte as report ID 1 and complete HIDIOCGFEATURE with a zero-byte result. With this change the malformed response is rejected with -EIO, while a subsequent valid response still succeeds. Require a payload byte before comparing a numbered report ID. Unnumbered reports continue to accept an empty payload.