CVE-2026-90011

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: —
CWE: —
KEV Durumu: Hayır

Yayım tarihi: 16 Eylül 2026

Linux çekirdeğinde aşağıdaki güvenlik açığı çözülmüştür: scsi: target: iscsi: Giriş yükü için bir sonlandırıcı bayt ayır iscsi_target_check_login_request(), DataSegmentLength'in MAX_KEY_VALUE_PAIRS'ı aştığı durumlarda bir giriş PDU'sunu reddeder, ancak test '>' işaretiyle yapılır ve login->req_buf tam olarak MAX_KEY_VALUE_PAIRS bayt ile atanır. iscsit_get_login_rx() fonksiyonu, payload_length + padding baytlarını alır, burada padding = ((-payload_length) & 3); herhangi bir payload_length 8189 ile 8192 arasında olduğunda, tüm 8192 baytlık arabelleği doldurur. Yazma sınırlar içinde kalır, ancak bir NUL sonlandırıcı için yeterli alan kalmaz. Arabellek daha sonra bir C dizesi olarak kullanılır. CHAP yolunda chap_check_algorithm() fonksiyonu kstrdup(a_str) çağrısı yapar ve extract_param() fonksiyonu strstr(in_buf, pattern) çağrısı takip eder ve ardından strlen_semi() çağrısı yapılır, bunlardan hiçbiri bir uzunluk almaz. convert_null_to_semi() ayrıca her gömülü NUL'u ';' ile değiştirir, böylece iyi oluşturulmuş NUL ayrılmış anahtar=değer kayıtlarından oluşan bir yük bile sonlandırıcı olmadan kalır. Bunlar nesnenin sonundan sonraki komşu slab belleğine ulaşır. Bir kimlik doğrulama gerektirilmediğinde, iscsi_login_zero_tsih_s2() fonksiyonu AuthMethod'i Hiçbiri olarak değiştirir ve CHAP yolu hiçbir zaman girilmez; kimlik doğrulama gerektirmeyen bir portal için yapılandırılmış bir portal karşı bir kimlik doğrulama yapılmamış başlatıcı tarafından erişilebilir. Bir ekstra bayt ayır. kzalloc() bunu sıfırlar ve hiçbir şey nunca buna yazar, çünkü her yazar en fazla MAX_KEY_VALUE_PAIRS bayt için 0 ofsetine kopyalar, böylece arabellek her zaman sonlandırılır.

Orijinal açıklama (İngilizce)

In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Reserve a terminator byte for the login payload iscsi_target_check_login_request() rejects a login PDU whose DataSegmentLength exceeds MAX_KEY_VALUE_PAIRS, but the test is '>' and login->req_buf is allocated with exactly MAX_KEY_VALUE_PAIRS bytes. Since iscsit_get_login_rx() receives payload_length + padding bytes, where padding = ((-payload_length) & 3); any payload_length from 8189 to 8192 fills the whole 8192 byte buffer. The write stays in bounds, but no byte is left for a NUL terminator. The buffer is subsequently consumed as a C string. In the CHAP path chap_check_algorithm() calls kstrdup(a_str), and extract_param() calls strstr(in_buf, pattern) followed by strlen_semi(), none of which take a length. convert_null_to_semi() additionally rewrites every embedded NUL to ';', so even a payload made of well formed NUL separated key=value records is left without a terminator. These walk past the end of the object into adjacent slab memory. It is reachable by an unauthenticated initiator against a portal configured for CHAP; when authentication is not required iscsi_login_zero_tsih_s2() rewrites AuthMethod to None and the CHAP path is never entered. Allocate one extra byte. kzalloc() zeroes it and nothing ever writes to it, as every writer copies to offset 0 for at most MAX_KEY_VALUE_PAIRS bytes, so the buffer is always terminated.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.