Podatności Linux kernel (mt76 mt7996 driver)

W jądrze Linux w funkcji mt7996_mcu_get_eeprom() sterownika wifi mt76 (układ mt7996) adres docelowy kopii bloku EFUSE/EXT jest wyliczany na podstawie adresu raportowanego przez MCU (event->addr), a ograniczana jest jedynie długość kopii, nigdy przesunięcie docelowe w buforze eeprom.data. Złośliwe lub wadliwe urządzenie może zgłosić dowolny adres i wymusić zapis poza zakresem bufora eeprom.data o rozmiarze do MT7996_EXT_EEPROM_BLOCK_SIZE bajtów.

W jądrze Linux sterowniki mt7996/mt7992 przekazują firmware'owi HW MAC-TXP dla ramek AddBA req, ale są urządzeniami FW-TXP. Przy zwalnianiu TX funkcja mt76_connac_txp_skb_unmap() błędnie dekoduje txp jako strukturę mt76_connac_fw_txp, przez co pętla unmap wykonuje się zero razy i mapowanie DMA skb w buf[1] nigdy nie jest zwalniane. Każda ramka AddBA req powoduje wyciek jednego mapowania TX DMA, co przy ciągłym ponownym łączeniu klientów wyczerpuje pulę swiotlb WED po około 1-2 dniach.

W jądrze Linux domyślny firmware EEPROM jest parsowany i kopiowany jako pełny EEPROM bez sprawdzenia jego długości. Obcięty plik może spowodować odczyt poza buforem firmware podczas walidacji wariantu lub kopii zapasowej.