В ядре Linux устранена следующая уязвимость: Bluetooth: hci_sync: исправление переполнителя буфера стека в hci_le_big_create_sync hci_le_bi…

В ядре Linux устранена следующая уязвимость: Bluetooth: hci_sync: исправление переполнителя буфера стека в hci_le_big_create_sync hci_le_big_create_sync() использует DEFINE_FLEX для выделения struct hci_cp_le_big_create_sync на стеке с комнатой для 0x11 (17) Записи БМР. Тем не менее, conn->num_bis может держаться до HCI_MAX_ISO_BIS (31) Записи — подтверждены против ISO_MAX_NUM_BIS (0x1f) в звонке hci_conn_big_create_sync(). Когда conn->num_bis находится между 18 и 31, памятка, которая копирует conn->bis в cp->bis, записывает до 14 байтов мимо буфера стека, развращая смежные стековые воспоминания. Это тривиально воспроизводимо: связывание сокета ISO с bc_num_bis = ISO_MAX_NUM_BIS (31) и вызов listen() будет в конечном итоге триггер hci_le_big_create_sync() из команды HCI Синхронизируйте работника, вызывая KASAN-обнаруживаемый стек-из-границы, пишите: BUG: KASAN: stack-out-of-bounds в hci_le_big_create_sync+0x256/0x3b0 Написать размер 31 по адресу ffc90000487b48 по заданному работнику/u9:0/71 Исправьте это, изменив количество ДЕФИНА_FLEX с неправильного 0x11 на HCI_MAX_ISO_BIS, который соответствует максимальному количеству записей BIS, которые conn->bis действительно может нести.