Odebrany

CVE-2026-89648

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ceph: ograniczenie liczby delegowanych i-węzłów w ceph_parse_deleg_inos()

ceph_parse_deleg_inos() dekoduje zestawy przedziałów delegowanych numerów i-węzłów
z odpowiedzi MDS na utworzenie z delegacją. Dla każdego zestawu odczytuje 64-bitowy
start i 64-bitowy len z funkcją ceph_decode_64_safe(), która tylko sprawdza poprawność
że w komunikacie znajduje się osiem bajtów, a nie wartość, i następnie
zapętla len podczas wstawiania wpisów do s_delegated_inos.

len jest w pełni kontrolowany przez atakującego. Może wysłać złośliwy lub zainfekowany MDS
jeden ogromny interwał, wiele interwałów w jednej odpowiedzi, zduplikowane interwały lub
powtarzane odpowiedzi, które kumulują delegowane i-węzły w tej samej sesji.
Oryginalny kod nie ograniczał żadnego z nich i mógł obracać pętlę wstawiania lub
powiększaj tablicę x bez ograniczeń.

Połączono oba wymiary jednym punktem wymuszania. Śledź numer
delegowanych i-węzłów przechowywanych przez każdą sesję MDS w liczniku atomowym i
rozwijaj go tylko w ceph_insert_deleg_ino(), która używa atomic_add_unless()
aby odmówić przesunięcia licznika poza CEPH_MAX_DELEG_INOS. Ponieważ ten pomocnik
to jedyne miejsce, w którym licznik rośnie, a populacja przypadająca na sesję nigdy nie będzie możliwa
przekroczyć limit, więc nie jest wymagana osobna wstępna kontrola każdej sesji. The
licznik jest zmniejszany, gdy tworzenie asynchroniczne zużywa delegowany i-węzeł lub
w przypadku niepowodzenia wstawiania, zwiększana po przywróceniu delegowanego i-węzła,
inicjowany za pomocą tablicy xarray sesji i resetowany, gdy ponowne połączenie niszczy
tablica x.

Sam limit na sesję nadal pozwala jednej odpowiedzi włączyć pętlę wstawiania
zduplikuj zakresy bez zwiększania licznika, więc ogranicz także agregat
długość interwału akceptowana z pojedynczej odpowiedzi. Razem łączyły one oba
liczba podróży pętli na odpowiedź i populacja tablicy x w odpowiedziach.

Limit jest stałą, wybraną przez klienta, a nie wartością pochodną
z MDS. mds_client_prealloc_inos to konfiguracja MDS w przestrzeni użytkownika
opcja; nigdy nie jest wysyłany do klienta jądra drogą kablową, oraz a
Powiązaniu dostarczonemu przez serwer nie można ufać żadnemu limitowi obronnemu
sprawa. Stała jest ustawiona znacznie powyżej udokumentowanej wartości domyślnej tej opcji
1000 (hojna wielokrotność), więc nie ma to wpływu na prawidłowe zachowanie związane z uzupełnianiem
podczas gdy procesor i pamięć xarray może zużywać zniekształcony strumień delegowania
pozostaje ograniczony.

Skutek: złośliwy lub zainfekowany Ceph MDS nie może już utworzyć klienta
przeglądaj nieograniczony interwał delegowanych i-węzłów lub zwiększaj jedną sesję
xarray z delegowanym i-węzłem bez ograniczeń.

In the Linux kernel, the following vulnerability has been resolved:

ceph: cap delegated inode count in ceph_parse_deleg_inos()

ceph_parse_deleg_inos() decodes interval sets of delegated inode numbers
from an MDS create-with-delegation reply. For each set it reads a 64-bit
start and a 64-bit len with ceph_decode_64_safe(), which only validates
that the eight bytes are present in the message, not the value, and then
loops over len while inserting entries into s_delegated_inos.

len is fully attacker controlled. A malicious or compromised MDS can send
one huge interval, many intervals in one reply, duplicate intervals, or
repeated replies that accumulate delegated inodes on the same session.
The original code bounded none of these and could spin the insert loop or
grow the xarray without limit.

Bound both dimensions with a single enforcement point. Track the number
of delegated inodes held by each MDS session in an atomic counter and
grow it only in ceph_insert_deleg_ino(), which uses atomic_add_unless()
to refuse to push the count past CEPH_MAX_DELEG_INOS. Because that helper
is the only place the counter grows, the per-session population can never
exceed the cap, so no separate per-session pre-check is needed. The
counter is decremented when async create consumes a delegated inode or
when an insert fails, incremented when a delegated inode is restored,
initialized with the session xarray, and reset when reconnect destroys
the xarray.

A per-session cap alone still lets one reply spin the insert loop on
duplicate ranges without growing the counter, so also cap the aggregate
interval length accepted from a single reply. Together these bound both
the loop trip count per reply and the xarray population across replies.

The cap is a fixed, client-chosen constant rather than a value derived
from the MDS. mds_client_prealloc_inos is a userspace MDS configuration
option; it is never sent to the kernel client on the wire, and a
server-supplied bound could not be trusted for a defensive limit in any
case. The constant is set well above that option's documented default of
1000 (a generous multiple), so legitimate refill behavior is unaffected
while the CPU and xarray memory a malformed delegation stream can consume
stays bounded.

Impact: a malicious or compromised Ceph MDS can no longer make a client
spin through an unbounded delegated-inode interval or grow one session's
delegated-inode xarray without limit.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve