Odebrany

CVE-2026-89650

opublikowano: 11.09.2026, 22:19

modyfikacja: 11.09.2026, 22:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ceph: powiązana tablica num_export_targets dla informacji mds v2/v3

ceph_mdsmap_decode() w fs/ceph/mdsmap.c odczytuje num_export_targets z
każdy rekord informacji per-mds i przesuwa kursor dekodowania o
num_export_targets * sizeof(u32) bez uprzedniego sprawdzenia tylu bajtów
pozostać. Jedyna kontrola górnej granicy, która wyłapuje uciekający kursor
(*p > info_end) jest bramkowane na info_v >= 4, ponieważ info_end ma wartość NULL
dla info_v 2 i 3. Gdy monitor wysyła mapę MDS, której per-mds
info to wersja 2 lub 3 z przewymiarowanym kursorem num_export_targets
przechodzi obok bufora przedniego komunikatu i późniejszej pętli celów eksportu
wywołuje niesprawdzoną funkcję ceph_decode_32() w przypadku pamięci poza zakresem.

Klient jądra przetwarza CEPH_MSG_MDS_MAP ze swojej sesji monitora
(net/ceph/mon_client.c wysyła go; fs/ceph/super.c kieruje go do
ceph_mdsc_handle_mdsmap(), która ustawia koniec związanego przedniego bufora i
wywołuje ceph_mdsmap_decode()). Złośliwy lub zainfekowany monitor lub
atakujący na ścieżce w niepodpisanej/nieszyfrowanej sesji komunikatora, can
dlatego też w jądrze klienta wyprowadź odczyt poza granicami; na x86_64
w przypadku KASAN jest to zgłaszane jako wczytanie płyty poza boiskiem
ceph_mdsmap_decode(). Zdekodowane wartości lądują w pliku wewnętrznym
info->export_targets[] tablica, więc konsekwencją jest jądro
odczyt poza granicami, a nie wyciek informacji do atakującego.

Zagrożenie: złośliwy lub zainfekowany monitor Ceph wysyłający mapę MDS za pomocą
wersja informacji o per-mds 2 lub 3 i zbyt duży plik num_export_targets
pole wyzwala odczyt poza granicami w jądrze klienta CephFS.

Przed przejściem dalej dodaj funkcję ceph_decode_need() do tablicy eksport-targets
kursor, więc ograniczenie jest wymuszane dla każdego info_v >= 2, nie tylko
info_v >= 4. Odzwierciedla to używany już idiom „licz-to-potrzeba”.
m_data_pg_pools później w tej samej funkcji.

Oblicz liczbę bajtów celów eksportu za pomocą size_mul() i użyj jej ponownie
sprawdzana długość podczas przesuwania kursora, aby atakujący kontrolował
Mnożenie num_export_targets kończy się niepowodzeniem w przypadku przepełnienia, a nie
opierając się na późniejszej osłonie kcalloc().

In the Linux kernel, the following vulnerability has been resolved:

ceph: bound num_export_targets array for mds info v2/v3

ceph_mdsmap_decode() in fs/ceph/mdsmap.c reads num_export_targets from
each per-mds info record and advances the decode cursor by
num_export_targets * sizeof(u32) without first checking that many bytes
remain. The only upper-bound check that catches a runaway cursor
(*p > info_end) is gated on info_v >= 4, because info_end is left NULL
for info_v 2 and 3. When the monitor sends an MDS map whose per-mds
info version is 2 or 3 with an oversized num_export_targets, the cursor
moves past the message front buffer and the later export-targets loop
calls the unchecked ceph_decode_32() on out-of-bounds memory.

A kernel client processes CEPH_MSG_MDS_MAP from its monitor session
(net/ceph/mon_client.c dispatches it; fs/ceph/super.c routes it to
ceph_mdsc_handle_mdsmap(), which sets end to the front buffer bound and
calls ceph_mdsmap_decode()). A malicious or compromised monitor, or an
on-path attacker on an unsigned/unencrypted messenger session, can
therefore drive an out-of-bounds read in the client kernel; on x86_64
with KASAN it is reported as a slab-out-of-bounds read in
ceph_mdsmap_decode(). The decoded values land in the internal
info->export_targets[] array, so the consequence is a kernel
out-of-bounds read, not an information leak to the attacker.

Impact: a malicious or compromised Ceph monitor sending an MDS map with
a per-mds info version of 2 or 3 and an oversized num_export_targets
field triggers an out-of-bounds read in the CephFS client kernel.

Add a ceph_decode_need() for the export-targets array before advancing
the cursor, so the bound is enforced for every info_v >= 2, not only
info_v >= 4. This mirrors the count-then-need idiom already used for
m_data_pg_pools later in the same function.

Compute the export-targets byte count with size_mul() and reuse that
checked length when advancing the cursor, so the attacker-controlled
num_export_targets multiplication fails closed on overflow rather than
relying on the later kcalloc() guard.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve