CVE-2026-72403

CVE CVE-2026-72403EUVD EUVD-2026-59302Veröffentlicht 2026-08-15T05:56:27.000ZZuletzt geändert 2026-08-17T05:14:00.000Z

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: ALSA: FCP: Fix NULL pointer dereference in interface lookup A malformed USB device can provide a vendor-specific interface without any endpoint descriptors. fcp_find_fc_interface() currently selects the first vendor-specific interface and reads endpoint 0 from it, without checking whether the interface actually has any endpoints. When bNumEndpoints is zero, no endpoint array is allocated for the parsed alternate setting, so get_endpoint(..., 0) yields an invalid endpoint descriptor pointer. Dereferencing it through usb_endpoint_num() then triggers a NULL pointer dereference. Skip vendor-specific interfaces that do not have any endpoints.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

Linux — Linux 6.14; patch: 7.2; patch: 0; 46757a3e7d50dac923888e7fbe68377736f13c70 <3ab06151ffcb8c3aeb8f78508658b6c0f05be932; patch: 7.1.5; patch: 6.18.40; 46757a3e7d50dac923888e7fbe68377736f13c70 <e1e31e0ec8a609e17fd2e86b77bc00d9cbb24d7c; 46757a3e7d50dac923888e7fbe68377736f13c70 <f28d7b5f1578a7501ab17b10643ed1e4f729187e

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

Linux — Linux

Betrifft das einen Ihrer Kundenbestände?

Diese Seite kann die Frage nicht beantworten — sie kennt Ihren Bestand nicht. Wer seine Umgebungen erfasst hat, bekommt die Antwort am Morgen nach der Veröffentlichung, zusammen mit einem Absatz, den er unverändert an den Kunden weitergeben kann.

28 Tage testen

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.