CVE-2026-64086

CVE CVE-2026-64086EUVD EUVD-2026-45659Veröffentlicht 2026-07-19T15:39:56.000ZZuletzt geändert 2026-08-05T12:39:03.000ZCVSS 7.8

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: hwmon: (pmbus/adm1266) include PEC byte in pmbus_block_xfer read buffer adm1266_pmbus_block_xfer() sets up the read transaction with .buf = data->read_buf, .len = ADM1266_PMBUS_BLOCK_MAX + 2, but read_buf in struct adm1266_data is declared as u8 read_buf[ADM1266_PMBUS_BLOCK_MAX + 1]; For a max-length block response (length byte = 255 + up to 1 PEC byte), the i2c controller is told to write 257 bytes into a 256-byte buffer, putting one byte past the end of read_buf. The same response also makes the subsequent PEC compare if (crc != msgs[1].buf[msgs[1].buf[0] + 1]) read a byte beyond the array. Bump the read_buf declaration to ADM1266_PMBUS_BLOCK_MAX + 2 so the buffer can hold the length byte, up to 255 payload bytes, and the PEC byte the i2c_msg length already accounts for.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

Linux — Linux 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <472744f69d25a2d5111ad62f1d62579dce2c13c8; patch: 6.6.142; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <487566cb1ccdf3756fdd7bf8d875e612ff3169bb; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <528a9f88e88502d0c2f2052a279415074cd83715; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <bd5be3fa5de6dbf61f1b3cec6b79c2c2f8065694; patch: 0; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <d94ceb16e55b6d8019ab069e357c76ac42f0ffbc; patch: 5.10.258; patch: 6.18.34; 5.10; patch: 6.12.92; patch: 7.1; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <2279c342d94eca225bf9f301c8806a05a1c81619; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <397d3f523bfff2f4e3dacf9b1339bd76dc207f78; 407dc802a9c0809ca6a48de4b4c63305eb84ef56 <a6c802145a8de0830bca803c6d415f7e9e683624; patch: 5.15.209; patch: 7.0.11; patch: 6.1.175

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

Linux — Linux

Betrifft das einen Ihrer Kundenbestände?

Diese Seite kann die Frage nicht beantworten — sie kennt Ihren Bestand nicht. Wer seine Umgebungen erfasst hat, bekommt die Antwort am Morgen nach der Veröffentlichung, zusammen mit einem Absatz, den er unverändert an den Kunden weitergeben kann.

28 Tage testen

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.