CVE-2026-53996
WysokieCVSS 7.0Streszczenie
Sterownik hdaudio(4) w NetBSD w pliku sys/dev/hdaudio/hdaudio.c zawiera podatność na brak kontroli dostępu, która pozwala nieuprzywilejowanym lokalnym atakującym na wywołanie ioctl HDAUDIO_FGRP_SETCONFIG bez podniesionych uprawnień, wykorzystując brak sprawdzenia dostępu do węzłów urządzenia /dev/hdaudioN. Atakujący mogą wielokrotnie wysyłać HDAUDIO_FGRP_SETCONFIG z jednego wątku, utrzymując DMA i IRQ aktywne z drugiego wątku, co prowadzi do wyścigu use-after-free w hdafg_detach() między stream_stop() a stream_disestablish(), gdzie opóźnione przerwanie DMA dereferencuje zwolniony wskaźnik callback, co może skutkować od odmowy usługi podsystemu audio i paniki jądra po potencjalną lokalną eskalację uprawnień.
Ocena ryzyka
Ryzyko obejmuje lokalną odmowę usługi, panikę jądra oraz potencjalną eskalację uprawnień, co może prowadzić do pełnej kompromitacji systemu przez nieuprzywilejowanego użytkownika.
Rekomendacja
Zaleca się zastosowanie poprawek od producenta (jeśli dostępne) oraz ograniczenie dostępu do urządzeń /dev/hdaudioN dla nieuprzywilejowanych użytkowników, a także monitorowanie systemu pod kątem nietypowej aktywności audio.
Oryginalny opis (angielski, źródło NVD)
NetBSD's hdaudio(4) driver in sys/dev/hdaudio/hdaudio.c contains a missing access control vulnerability that allows unprivileged local attackers to invoke the HDAUDIO_FGRP_SETCONFIG ioctl without elevated permissions by exploiting the absence of an access check on /dev/hdaudioN device nodes. Attackers can repeatedly issue HDAUDIO_FGRP_SETCONFIG from one thread while keeping DMA and IRQs live from a second thread to trigger a use-after-free race condition in hdafg_detach() between stream_stop() and stream_disestablish(), where a latched DMA interrupt dereferences a freed callback pointer, resulting in outcomes ranging from audio-subsystem denial of service and kernel panic to potential local kernel privilege escalation.