CVE-2026-64320

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.7%
CWE: CWE-125
KEV Durumu: Hayır

Yayım tarihi: 25 Temmuz 2026

Etkilenen: linux linux_kernel

Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: nvmet: Kimlik doğrulaması olmadan önce yığın dışına okuma hatasını düzeltin - Discovery Get Log Page nvmet_execute_disc_get_log_page(), yalnızca host tarafından sağlanan Log Page Ofsetinin (lpo) dword hizalamasını doğrular. 64 bitlik ofset daha sonra discovery log sayfasını tutan küçük bir kzalloc'da buffer'a eklenir ve sonuç doğrudan nvmet_copy_to_sgl()'e geçirilir, bu da memcpy() ile data_len baytını host'a kopyalar ve kaynak tarafında herhangi bir sınır denetimi yapılmaz: u64 ofset = nvmet_get_log_page_offset(req->cmd); /* 64-bit host */ size_t data_len = nvmet_get_log_page_len(req->cmd); /* 32-bit host */ ... if (ofset & 0x3) { ... } /* yalnızca kontrol */ ... alloc_len = sizeof(*hdr) + entry_size * discovery_log_entries(req); buffer = kzalloc(alloc_len, GFP_KERNEL); ... status = nvmet_copy_to_sgl(req, 0, buffer + ofset, data_len); Keşif kontrolcüsü kimlik doğrulamasızdır - nvmet_host_allowed() koşulsuz olarak discovery alt sistemi için true döndürür - bu nedenle çağrı, nvmet hedefine erişimi olan herhangi bir TCP/RDMA/FC eş tarafından kimlik doğrulaması öncesi erişilebilir. ~1 KiB'lik bir discovery log sayfasıyla, saldırganın 4 KiB'ye kadar okuyarak ofset == alloc_len okuyarak bir sonraki slab sayfasını okuyabilir ve içeriği kumaşa geri döndürebilir (varsayılan bir nvmet-tcp loopback hedefinde empirik bir çalışmada, bir Get Log Page yanıtında 81 kanonik çekirdek işaretçisi sızdırıldı). Ofseti eşlenmemiş çekirdek belleğine işaret etmek, in-kernel memcpy'yi bozar ve hedef ana bilgisayarı çökerir (veya panic_on_oops=1 ise panik yapar). Saldırgan tarafından kontrol edilen kaynak tarafı ofset deseni "nvmet_copy_to_sgl(req, 0, buffer + SALDIRGAN_OFSET, ...)" tüm nvmet kod tabanında nvmet_execute_disc_get_log_page'e özgüdür: admin-cmd.c'deki diğer tüm Get Log Page işleyicileri lpo'yu görmezden gelir (ve her zaman yanıtı ofset 0'dan başlar) veya sabit bir kaynak işaretçisiyle yerel bir hedef ofsetini izler. Log sayfası boyutuna karşı host tarafından sağlanan ofseti doğrulayın, kopya uzunluğunu gerçekten mevcut olanla sınırlayın ve host transfer arabelleğinin kalanını sıfırla doldurun. Sıfır doldurma, admin-cmd.c'de (nvmet_execute_get_log_changed_ns()) mevcut kısa yanıt desenini eşler ve host log sayfasından daha fazla bayt istediğinde transport SGL içeriğinin sızdırılmasını önler.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: nvmet: fix pre-auth out-of-bounds heap read in Discovery Get Log Page nvmet_execute_disc_get_log_page() validates only the dword alignment of the host-supplied Log Page Offset (lpo). The 64-bit offset is then added to a small kzalloc'd buffer that holds the discovery log page and the result is passed straight to nvmet_copy_to_sgl(), which memcpy()s data_len bytes out to the host with no source-side bound check: u64 offset = nvmet_get_log_page_offset(req->cmd); /* 64-bit host */ size_t data_len = nvmet_get_log_page_len(req->cmd); /* 32-bit host */ ... if (offset & 0x3) { ... } /* only check */ ... alloc_len = sizeof(*hdr) + entry_size * discovery_log_entries(req); buffer = kzalloc(alloc_len, GFP_KERNEL); ... status = nvmet_copy_to_sgl(req, 0, buffer + offset, data_len); The Discovery controller is unauthenticated -- nvmet_host_allowed() returns true unconditionally for the discovery subsystem -- so the call is reachable pre-authentication by any TCP/RDMA/FC peer that can reach the nvmet target. With a discovery log page of ~1 KiB, an attacker requesting up to 4 KiB starting at offset == alloc_len reads the next slab page out and gets its content returned over the fabric (an empirical run on a default nvmet-tcp loopback target leaked 81 canonical kernel pointers in one Get Log Page response). Pointing the offset at unmapped kernel memory faults the in-kernel memcpy and crashes (or panics, on panic_on_oops=1) the target host instead. The attacker-controlled source-side offset pattern "nvmet_copy_to_sgl(req, 0, buffer + ATTACKER_OFFSET, ...)" is unique to nvmet_execute_disc_get_log_page in the entire nvmet codebase: every other Get Log Page handler in admin-cmd.c either ignores lpo (and silently starts every response at offset 0) or tracks a local destination offset with a fixed source pointer. Validate the host-supplied offset against the log page size, cap the copy length to what is actually available, and zero-fill any remainder of the host transfer buffer. The zero-fill matches the existing short-response pattern in nvmet_execute_get_log_changed_ns() (admin-cmd.c) and prevents leaking transport SGL contents when the host asks for more bytes than the log page contains.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.