Odebrany

CVE-2026-89542

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

SUNRPC: wzmocnij gss_krb5_unwrap_v2 przed krótkimi tokenami

gss_krb5_unwrap_v2() odczytuje pola nagłówka EC i RRC w ptr+4 i
ptr+6 przed sprawdzeniem, czy token ma co najmniej GSS_KRB5_TOK_HDR_LEN
(16) bajtów długości, a jego pomocnik obracania_left() przekazuje buf->len - base
do xdr_buf_subsegment() bez sprawdzania tej podstawy <= buf->len. Kiedy
osoba wywołująca przekazuje token o długości poniżej 16 bajtów lub token o zadeklarowanej długości
opuszcza bazę za końcem bufora, następują trzy wyraźne awarie:

gss_krb5_unwrap_v2(offset, dł., buf)
ptr = buf->head[0].iov_base + przesunięcie
ec = *(ptr + 4) /* OOB odczyt na krótkiej głowie */
rrc = *(ptr + 6) /* OOB odczyt na krótkiej głowie */
obrót_w lewo(przesunięcie + 16, buf, rrc)
xdr_buf_subsegment(buf, &subbuf,
base, buf->len - baza) /* u32 wrap gdy baza > len */
_rotate_left(&podbuf, przesunięcie)
shift %= buf->len /* dzielenie przez zero, gdy podstawa == len */

Po odszyfrowaniu arytmetyka czyszczenia ma ten sam kształt:

movelen = min_t(unsigned int, buf->head[0].iov_len, len);
movelen -= przesunięcie + GSS_KRB5_TOK_HDR_LEN + przeskok;
BUG_ON (przesunięcie + GSS_KRB5_TOK_HDR_LEN + przeskok + przesunięcie >
buf->głowa[0].iov_len);

BUG_ON ponownie dodaje właśnie odjętą wartość, więc redukuje się do
min(A, B) > A i jest trwale fałszywe; nie może złapać niepodpisanego
niedostatek movelen, który następnie steruje memmove() o wartości ~UINT_MAX-bajtów.

Dodaj cztery osłony zapewniające głęboką obronę wewnątrz rozpakowanego rdzenia, aby był bezpieczny
niezależnie od tego, co potwierdzają jego rozmówcy:

- odrzuć tokeny z len - offset < GSS_KRB5_TOK_HDR_LEN wcześniej
dotykanie ptr+4/ptr+6;
- wycofanie się z funkcji turn_left(), gdy buf->len <= baza, obejmująca oba
przypadki niedomiaru i długości zerowej;
- wróć wcześniej z _rotate_left(), gdy buf->len wynosi zero, więc
shift %= buf->len modulo nie może nic zarzucić;
- zamień martwy BUG_ON na czek na żywo, który powraca
GSS_S_DEFECTIVE_TOKEN przed odjęciem ruchu.

In the Linux kernel, the following vulnerability has been resolved:

SUNRPC: harden gss_krb5_unwrap_v2 against short tokens

gss_krb5_unwrap_v2() reads the EC and RRC header fields at ptr+4 and
ptr+6 before validating that the token is at least GSS_KRB5_TOK_HDR_LEN
(16) bytes long, and its rotate_left() helper passes buf->len - base
to xdr_buf_subsegment() without verifying that base <= buf->len. When
a caller hands in a sub-16-byte token, or a token whose declared len
leaves base past the end of the buffer, three distinct failures follow:

gss_krb5_unwrap_v2(offset, len, buf)
ptr = buf->head[0].iov_base + offset
ec = *(ptr + 4) /* OOB read on short head */
rrc = *(ptr + 6) /* OOB read on short head */
rotate_left(offset + 16, buf, rrc)
xdr_buf_subsegment(buf, &subbuf,
base, buf->len - base) /* u32 wrap when base > len */
_rotate_left(&subbuf, shift)
shift %= buf->len /* divide-by-zero when base == len */

After decryption, the cleanup arithmetic has the same shape:

movelen = min_t(unsigned int, buf->head[0].iov_len, len);
movelen -= offset + GSS_KRB5_TOK_HDR_LEN + headskip;
BUG_ON(offset + GSS_KRB5_TOK_HDR_LEN + headskip + movelen >
buf->head[0].iov_len);

The BUG_ON re-adds the value just subtracted, so it reduces to
min(A, B) > A and is permanently false; it cannot catch the unsigned
underflow of movelen, which then drives a ~UINT_MAX-byte memmove().

Add four defense-in-depth guards inside the unwrap core so it is safe
regardless of what its callers validate:

- reject tokens with len - offset < GSS_KRB5_TOK_HDR_LEN before
touching ptr+4/ptr+6;
- bail from rotate_left() when buf->len <= base, covering both the
underflow and zero-length cases;
- return early from _rotate_left() when buf->len is zero, so the
shift %= buf->len modulo cannot fault;
- replace the dead BUG_ON with a live check that returns
GSS_S_DEFECTIVE_TOKEN before the movelen subtraction.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve