CVE-2026-89551

W jądrze Linuksa usunięto następującą lukę:

SUNRPC: xdr_buf_trim: zacisk buf->len, aby uniknąć niedopełnienia

xdr_buf_trim() obcina `len` bajtów z końca xdr_buf o
chodzenie po ogonie, stronach i głowie iovecs. Każdy krok w sekcji
używa min_t(), więc nigdy nie usuwa więcej bajtów niż ta sekcja
obowiązuje, ale końcowe rozliczenie na etykiecie fix_len odejmuje
całkowita liczba bajtów faktycznie zużytych z buf->len bez żadnego zacisku:

fix_len:
buf->len -= (len - przytnij);

Gdy wywołujący ustawił buf->len na wartość mniejszą niż suma
iov_lens, (len - trim) może przekraczać buf->len i unsigned
odejmowanie jest zawijane do wartości bliskiej UINT_MAX. gss_krb5_unwrap_v2() osiąga
xdr_buf_trim() w dokładnie tym stanie:

buf->head[0].iov_len -= GSS_KRB5_TOK_HDR_LEN + przeskok;
buf->len = len - (GSS_KRB5_TOK_HDR_LEN + przeskok);
xdr_buf_trim(buf, ec + GSS_KRB5_TOK_HDR_LEN + tailskip);

buf->len jest małą wartością wyprowadzoną z drutu, podczas gdy iov_lens jest na poziomie
skala strony, więc pętle poszczególnych sekcji legalnie zużywają znacznie więcej
bajtów niż rekordy buf->len. Następnie owinięty buf->len propaguje
jako autorytatywny strumień powiązany z każdym dalszym XDR
dekoder.

Napraw, zaciskając ubytek, tak aby buf->len spadł do zera:

buf->len -= min_t(unsigned int, buf->len, len - przycięcie);

Na normalnej ścieżce, gdzie iov_lens sumuje się do buf->len, (len - trim)
jest zawsze <= buf->len i wynik jest identyczny jak poprzednio. Nie
osoby wywołujące zmieniają zachowanie poza przypadkiem niedopełnienia.