Odebrany

CVE-2026-89544

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

SUNRPC: napraw błędy ścieżki błędów gssx_dec_option_array

Cztery sprzężone defekty w dekoderze tablicy opcji gssx XDR powodują, że
ścieżki błędów są niebezpieczne: deref NULL w programie wywołującym, wyciek refcountu
zdekodowane informacje o grupie i ukryte wykorzystanie po uwolnieniu, które powoduje wyciek
fix w przeciwnym razie ujawniłby.

gssx_dec_option_array() ustawia oa->count = 1 przed alokacją
oa->dane. Jeśli ta alokacja się nie powiedzie, zwracane jest -ENOMEM
oa->count == 1 i oa->data == NULL. Wszystkie inne ścieżki błędów przeskakują
do free_oa: co zwalnia oa->data i zeruje je, ale także opuszcza
oa->count == 1. Osoba wywołująca ufa liczbie:

gssp_accept_sec_context_upcall()
gssx_dec_accept_sec_context()
gssx_dec_option_array() /* błąd, liczba=1 dane=NULL */
dane = res.options.data[0].value /* NULL deref */

Niezależnie, free_creds: uwalnia częściowo zdekodowany plik svc_cred
z gołym kfree(kredytami). gssx_dec_linux_creds() instaluje a
groups_alloc() skutkuje creds->cr_group_info; ten przedmiot jest
wspierane przez kvmalloc i przeliczane, a osiąga tylko put_group_info().
kvfree(). Zwykły kfree(creds) upuszcza opakowanie i powoduje wyciek
alokacja informacji o grupie.

Naturalnym rozwiązaniem problemu wycieku jest wcześniejsze wywołanie funkcji free_svc_cred(creds).
kfree(creds), ale free_svc_cred() wywołuje put_group_info() na
creds->cr_group_info bezwarunkowo, gdy wartość różna od NULL. Istniejący
out_free_groups: ścieżka w gssx_dec_linux_creds() już wywołana
groups_free() na tym wskaźniku bez jego czyszczenia, więc raz
free_svc_cred() jest podłączona, kolejna funkcja put_group_info() tak będzie
dotknij zwolnionej pamięci.

Napraw wszystkie cztery razem:

- Przesuń przypisanie oa->count = 1 poniżej alokacji oa->data
więc nigdy nie jest ustawiane, gdy oa->data ma wartość NULL.
- Zresetuj oa->count do 0 w free_oa: więc liczba i dane pozostaną
spójne, a osoba wywołująca widzi pustą tablicę opcji.
- Zadzwoń do free_svc_cred(creds) przed kfree(creds) pod adresem free_creds:
więc przeliczona wartość cr_group_info zostaje zwolniona. free_svc_cred()
albo NULL jawnie chroni każde pole (cr_group_info ma
sprawdzenie if()) lub deleguje do pomocnika, który jest bezpieczny dla NULL
sama (kfree dla pól łańcuchowych, gss_mech_put() która
chroni if(gm) w gss_mech_switch.c:342), więc jest bezpiecznie
wywołać częściowo zdekodowany svc_cred gdzie tylko
cr_uid/cr_gid/cr_group_info zostały napisane i wszystko
else to zero z kzalloc.
- W out_free_groups gssx_dec_linux_creds(): ścieżka, wydanie
cr_group_info z put_group_info() zamiast groups_free()
więc porzucenie odpowiada ścieżce uwzględniającej refcount() funkcji free_svc_cred(),
i wyczyść wskaźnik, aby później użyć funkcji free_svc_cred() na tym samym
creds nie wypuści go po raz drugi.

In the Linux kernel, the following vulnerability has been resolved:

SUNRPC: fix gssx_dec_option_array error path bugs

Four coupled defects in the gssx XDR option-array decoder make the
error paths unsafe: a NULL deref in the caller, a refcount leak on
the decoded group_info, and a latent use-after-free that the leak
fix would otherwise expose.

gssx_dec_option_array() sets oa->count = 1 before allocating
oa->data. If that allocation fails, -ENOMEM is returned with
oa->count == 1 and oa->data == NULL. All other error paths jump
to free_oa: which frees oa->data and NULLs it but also leaves
oa->count == 1. The caller trusts the count:

gssp_accept_sec_context_upcall()
gssx_dec_accept_sec_context()
gssx_dec_option_array() /* fails, count=1 data=NULL */
data = res.options.data[0].value /* NULL deref */

Independently, free_creds: releases the partially decoded svc_cred
with a bare kfree(creds). gssx_dec_linux_creds() installs a
groups_alloc() result into creds->cr_group_info; that object is
kvmalloc-backed and refcounted, and only put_group_info() reaches
kvfree(). A plain kfree(creds) drops the wrapper and leaks the
group_info allocation.

The natural fix for the leak is to call free_svc_cred(creds) before
kfree(creds), but free_svc_cred() invokes put_group_info() on
creds->cr_group_info unconditionally when non-NULL. The existing
out_free_groups: path in gssx_dec_linux_creds() already called
groups_free() on that pointer without clearing it, so once
free_svc_cred() is wired in, the subsequent put_group_info() would
touch freed memory.

Fix all four together:

- Move the oa->count = 1 assignment below the oa->data allocation
so it is never set when oa->data is NULL.
- Reset oa->count to 0 at free_oa: so count and data stay
coherent and the caller sees an empty option array.
- Call free_svc_cred(creds) before kfree(creds) at free_creds:
so the refcounted cr_group_info is released. free_svc_cred()
either NULL-guards each field explicitly (cr_group_info has
an if() check) or delegates to a helper that is NULL-safe
itself (kfree for the string fields, gss_mech_put() which
guards with if(gm) at gss_mech_switch.c:342), so it is safe
to call on a partially decoded svc_cred where only
cr_uid/cr_gid/cr_group_info have been written and everything
else is zero from kzalloc.
- In gssx_dec_linux_creds()'s out_free_groups: path, release
cr_group_info with put_group_info() rather than groups_free()
so the teardown matches free_svc_cred()'s refcount-aware path,
and clear the pointer so a later free_svc_cred() on the same
creds does not release it a second time.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve