Odebrany

CVE-2026-89495

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ocfs2: powiązana nazwa w dlm_migrate_request_handler

Seria poprawek „ocfs2/dlm: powiązane długości kontrolowane przez peery w o2dlm”.

Moduły obsługi odbioru o2dlm ufają długości u8 i zliczają pola z przewodu
bez ograniczania ich, więc węzeł w domenie DLM może uszkodzić dowolny lub wywołać panikę
inny węzeł ze zniekształconym komunikatem. Trzy wady:

- dlm_migrate_request_handler() przekazuje opcję migracji->namelen odznaczoną do
dlm_init_mle(), która memcpy() umieszcza go w 32-bajtowym mname[]
obiekt płyty o2dlm_mle: zapis poza granicami sterty do ~215
bajty kontrolowane przez atakującego.

- dlm_mig_lockres_handler() przekazuje odznaczenie mres->lockname_len do
dlm_init_lockres(), która memcpy() umieszcza go w 32-bajtowym pliku o2dlm_lockname
obiekt płyty: zapis poza granicami sterty o wielkości do ~223 bajtów.

- ten sam moduł obsługi ufa mres->num_locks bez sprawdzania, czy
wiadomość jest wystarczająco duża, aby pomieścić tyle wpisów, więc
dlm_process_recovery_data() przeprowadza mres->ml[] obok kmalloc(data_len)
kopiuje i wyzwala błąd BUG_ON (odczyt poza zakresem kończący się paniką).

Inne programy obsługi odbierania o2dlm już odrzucają zbyt duże nazwy; the
Od czasu dodania DLM programy obsługi migracji i odzyskiwania pominęły go
(zobacz tagi Poprawki). Łatka 1 ogranicza nazwę; łatka 2 sprawdza poprawność
lockname_len, num_locks i rozmiar ładunku. Zgodne odzyskiwanie i
ruch migracyjny pozostaje niezmieniony.

o2net uwierzytelnia peery tylko za pomocą klucza domeny DLM, więc każdy węzeł, który ma
dołączył do domeny — łącznie z członkiem, który został przejęty lub złośliwy — can
wyślij te wiadomości. Nie ma lokalnego wyzwalacza; atakujący już musi
być członkiem klastra.

Każdy zlew został potwierdzony w ramach KASAN z dublowaniem modułu poza drzewem
dokładnie — kmem_cache/kmalloc o rzeczywistym rozmiarze miejsca docelowego, a następnie plik
ten sam niezapięty memcpy/loop: płyta-out-of-bounds Zapis dla dwóch zapisów,
Przeczytaj o spacerze regeneracyjnym i panice. AdresSanitizer przestrzeni użytkownika
Błędy kompilacji są identyczne pod -m32 i -m64. Dostępne są szorowane kłody
na żądanie.

Zgłosiłem to prywatnie na adres [email protected] i opiekunów ocfs2
w dniu 2026-06-20; bez odpowiedzi po upływie standardowego okresu embargo
opublikuj poprawkę publicznie. Nie mam żadnego embarga.

Ta łatka (z 2):

Węzeł odbierający komunikat DLM_MIGRATE_REQUEST ufa węzłowi dostarczanemu przez partnera
długość nazwy (migrate->namelen) bez jej ograniczania. dlm_init_mle() następnie
kopiuje tyle bajtów do stałej DLM_LOCKID_NAME_MAX-bajtowej nazwy mname[]
tablica obiektu płyty o2dlm_mle, więc zniekształcony komunikat z klastra
peer przekracza obiekt płyty maksymalnie o ~215 bajtów: sterta poza zakresem
zapis danych kontrolowanych przez atakującego, osiągalnych przez dowolny węzeł w domenie.

Odrzuć zbyt dużą nazwę, sposób, w jaki dlm_master_request_handler() i
inne programy obsługi odbierania o2dlm już to robią; procedura obsługi migracji pomija
sprawdź całkowicie. Zgodne komunikaty pozostają niezmienione.

In the Linux kernel, the following vulnerability has been resolved:

ocfs2: bound namelen in dlm_migrate_request_handler

Patch series "ocfs2/dlm: bound peer-controlled lengths in the o2dlm".

The o2dlm receive handlers trust u8 length and count fields from the wire
without bounding them, so a node in a DLM domain can corrupt or panic any
other node with a malformed message. Three defects:

- dlm_migrate_request_handler() passes migrate->namelen unchecked to
dlm_init_mle(), which memcpy()s it into the 32-byte mname[] of an
o2dlm_mle slab object: a heap out-of-bounds write of up to ~215
attacker-controlled bytes.

- dlm_mig_lockres_handler() passes mres->lockname_len unchecked to
dlm_init_lockres(), which memcpy()s it into the 32-byte o2dlm_lockname
slab object: a heap out-of-bounds write of up to ~223 bytes.

- the same handler trusts mres->num_locks without checking that the
message is large enough to hold that many entries, so
dlm_process_recovery_data() walks mres->ml[] past the kmalloc(data_len)
copy and trips a BUG_ON (an out-of-bounds read ending in a panic).

The other o2dlm receive handlers already reject an oversized name; the
migration and recovery handlers have omitted it since the DLM was added
(see the Fixes tags). Patch 1 bounds namelen; patch 2 validates
lockname_len, num_locks, and the payload size. Conforming recovery and
migration traffic is unaffected.

o2net authenticates peers only by the DLM domain key, so any node that has
joined the domain -- including a compromised or malicious member -- can
send these messages. There is no local trigger; the attacker must already
be a member of the cluster.

Each sink was confirmed under KASAN with an out-of-tree module mirroring
it exactly -- a kmem_cache/kmalloc of the real destination size, then the
same unclamped memcpy/loop: slab-out-of-bounds Write for the two writes,
Read for the recovery walk, and a panic. A userspace AddressSanitizer
build faults identically under -m32 and -m64. Scrubbed logs are available
on request.

I reported this privately to [email protected] and the ocfs2 maintainers
on 2026-06-20; with no response after the standard embargo period I am
posting the fix publicly. I have no embargo requirement.

This patch (of 2):

A node receiving a DLM_MIGRATE_REQUEST message trusts the peer-supplied
name length (migrate->namelen) without bounding it. dlm_init_mle() then
copies that many bytes into the fixed DLM_LOCKID_NAME_MAX-byte mname[]
array of an o2dlm_mle slab object, so a malformed message from a cluster
peer overflows the slab object by up to ~215 bytes: a heap out-of-bounds
write of attacker-controlled data, reachable by any node in the domain.

Reject an oversized name, the way dlm_master_request_handler() and the
other o2dlm receive handlers already do; the migration handler omits the
check entirely. Conforming messages are unaffected.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve