CVE-2026-89650

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.5%
CWE: —
KEV Durumu: Hayır

Yayım tarihi: 11 Eylül 2026

Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: ceph: mds bilgi v2/v3 için num_export_targets dizisini sınırladı fs/ceph/mdsmap.c'deki ceph_mdsmap_decode(), her bir mds bilgi kaydından num_export_targets'ı okur ve decode imlecini num_export_targets * sizeof(u32) kadar ilerletir, ancak önce bu kadar baytın kaldığinden emin olmaz. Koşulsuz bir üst sınır kontrolü (*p > info_end) yalnızca info_v >= 4 için geçerlidir, çünkü info_end, info_v 2 ve 3 için NULL olarak bırakılır. İzleyici, per-mds bilgi sürümü 2 veya 3 olan ve aşırı büyük bir num_export_targets içeren bir MDS haritası gönderdiğinde, imlec mesaj ön tamponunun ötesine geçer ve daha sonraki export-targets döngüsü, sınırları olmayan bellekte ceph_decode_32() işlevini çağırır. Bir çekirdek istemcisi, izleyici oturumundan CEPH_MSG_MDS_MAP'ı işler (net/ceph/mon_client.c bunu iletmektedir; fs/ceph/super.c bunu ceph_mdsc_handle_mdsmap() işlevine yönlendirmektedir, bu da sonunu ön tampon sınırına ayarlar ve ceph_mdsmap_decode() işlevini çağırır). Bu nedenle, kötü niyetli veya tehlikeye açık bir izleyici veya imzalanmamış/şifresiz bir mesajcı oturumu üzerindeki bir yol saldırıcısı, istemci çekirdeğinde sınırları dışındaki bir okumayı tetikleyebilir; x86_64 üzerinde KASAN ile bu, ceph_mdsmap_decode() işlevinde bir slab-out-of-bounds okuması olarak raporlanır. Çözümlenen değerler, dahili info->export_targets[] dizisine yerleşir, bu nedenle sonuç, bir bilgi sızıntısı değil, bir çekirdek sınırları dışındaki okumadır. Etki: Kötü niyetli veya tehlikeye açık bir Ceph izleyicisi, per-mds bilgi sürümü 2 veya 3 ve aşırı büyük bir num_export_targets alanına sahip bir MDS haritası gönderdiğinde, CephFS istemci çekirdeğinde sınırları dışındaki bir okumayı tetikleyebilir. ceph_decode_need() için export-targets dizisini, imleci ilerletmeden önce ekleyin, böylece sınır, yalnızca info_v >= 4 için değil, info_v >= 2 için de uygulanır. Bu, aynı işlevin ilerisindeki m_data_pg_pools için zaten kullanılan say-sonra-ihtiyaç özelliğini yansıtır. Export-targets bayt sayısını size_mul() ile hesaplayın ve imleci ilerletirken bu kontrol edilen uzunluğu yeniden kullanın, böylece saldırgan tarafından kontrol edilen num_export_targets çarpımı, daha sonraki kcalloc() korumasına güvenmek yerine taşmada kapalı olur.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: ceph: bound num_export_targets array for mds info v2/v3 ceph_mdsmap_decode() in fs/ceph/mdsmap.c reads num_export_targets from each per-mds info record and advances the decode cursor by num_export_targets * sizeof(u32) without first checking that many bytes remain. The only upper-bound check that catches a runaway cursor (*p > info_end) is gated on info_v >= 4, because info_end is left NULL for info_v 2 and 3. When the monitor sends an MDS map whose per-mds info version is 2 or 3 with an oversized num_export_targets, the cursor moves past the message front buffer and the later export-targets loop calls the unchecked ceph_decode_32() on out-of-bounds memory. A kernel client processes CEPH_MSG_MDS_MAP from its monitor session (net/ceph/mon_client.c dispatches it; fs/ceph/super.c routes it to ceph_mdsc_handle_mdsmap(), which sets end to the front buffer bound and calls ceph_mdsmap_decode()). A malicious or compromised monitor, or an on-path attacker on an unsigned/unencrypted messenger session, can therefore drive an out-of-bounds read in the client kernel; on x86_64 with KASAN it is reported as a slab-out-of-bounds read in ceph_mdsmap_decode(). The decoded values land in the internal info->export_targets[] array, so the consequence is a kernel out-of-bounds read, not an information leak to the attacker. Impact: a malicious or compromised Ceph monitor sending an MDS map with a per-mds info version of 2 or 3 and an oversized num_export_targets field triggers an out-of-bounds read in the CephFS client kernel. Add a ceph_decode_need() for the export-targets array before advancing the cursor, so the bound is enforced for every info_v >= 2, not only info_v >= 4. This mirrors the count-then-need idiom already used for m_data_pg_pools later in the same function. Compute the export-targets byte count with size_mul() and reuse that checked length when advancing the cursor, so the attacker-controlled num_export_targets multiplication fails closed on overflow rather than relying on the later kcalloc() guard.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.