CVE-2026-43049

高已发布

HID: logitech-hidpp: 防止力反馈初始化失败时的释放后使用

已发布: 2026年5月1日
已更新: 2026年5月23日
分配 CNA: Linux
观察到的证据: 2026年10月8日

初级CVSS

7.8/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS概率估计

0.2%

低 · 未来 30 天

百分位: 5.8%
型号日期: 2026年10月7日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

在 Linux 内核中，以下漏洞已被修复：HID: logitech-hidpp：防止在力反馈初始化失败时出现释放后使用目前，当探测 Logitech G920 Driving Force Racing Wheel for Xbox One 时，如果力反馈初始化失败，将返回并传播一个错误号，而此时用户空间基础设施（sysfs 和 /dev/input）尚未被拆除。如果用户空间忽略这些错误并继续使用对这些悬空实体的引用，将很快导致 UAF。我们有两个选择：继续返回错误，但确保所有基础设施相应地被拆除；或者继续将此情况视为警告，通过发出消息但返回成功来处理。据认为，原作者的意图是发出警告但保持设备可用，只是缺少力反馈功能，因此我们选择后者。

来源

pixel-ksu-root漏洞利用
帮助获取 Pixel 设备 root 权限的 CVE 研究与漏洞利用

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。