CVE-2026-89550

W jądrze Linuksa usunięto następującą lukę:

SUNRPC: svcauth_gss: wymuszaj minimalną długość tokena krb5

svcauth_gss_unwrap_priv() sprawdza tylko górną granicę
dostarczana drutem długość nieprzezroczysta przed przekazaniem bufora
gss_unwrap():

if (len > xdr_stream_remaining(xdr))
muszę rozpakować_failed;
przesunięcie = xdr_stream_pos(xdr);
...
maj_stat = gss_unwrap(ctx, offset, offset + len, buf);

Wartość drutu „len” przepływa niezmieniona jako górna granica do
krb5 unwrap path, więc len w [0, 16] przechodzi tę kontrolę i jest
przekazany do gss_unwrap(). Dla kontekstu krb5 v2, w którym się znajduje
gss_krb5_unwrap_v2(), który odczytuje 16-bajtowy token RFC 4121
pola nagłówka w ptr+4 i ptr+6, a następnie wywołuje funkcję obracania_left()
przed jakąkolwiek kontrolą integralności. Z nagłówkiem podrzędnym długość nagłówka
odczyty przebiegają obok tokenu i `shift %= buf->len` _rotate_left()
ścieżka może dzielić się przez zero, gdy buf->len zostanie doprowadzony do zera przez
obcięty token. Token zawierający tylko nagłówek (len == 16) jest równy
nieprawidłowe: z niezerowym polem RRC i nieprzezroczystą plamką kończącą się na
granicy bufora XDR, funkcja Rotate_left() tworzy obiekt o zerowej długości
podbufora, osiągając ten sam podział.

Odrzuć token w punkcie wejścia na serwer, zanim dotrze on do
krb5 rozpakuj rdzeń. Prawidłowy zapieczętowany token RFC 4121 musi zawierać
16-bajtowy nagłówek plus co najmniej część zaszyfrowanego ładunku.

Napraw, dodając kontrolę minimalnej długości bezpośrednio po
istniejąca kontrola górnej granicy:

jeśli (dł <= GSS_KRB5_TOK_HDR_LEN)
muszę rozpakować_failed;