CVE-2026-89651

W jądrze Linuksa usunięto następującą lukę:

ceph: powiązana ścieżka MDSCapAuth i dekodowanie nazwy_fs w handle_session()

handle_session() dekoduje rekordy MDSCapAuth przenoszone przez a
Wiadomość CEPH_SESSION_OPEN (msg_version >= 6). Dla każdego rekordu
Łańcuchy bajtów match.path i match.fs_name są odczytywane poprzez pierwsze dekodowanie a
Długość 32-bitowa, a następnie kopiowanie tylu bajtów z samą wersją
ceph_decode_copy(). W przeciwieństwie do okolicznych pól, z których wszystkie korzystają z
_safe warianty dekodowania, te dwie kopie nie są poprzedzone a
sprawdzenie granic ceph_decode_need() oraz załączone MDSCapAuth i
Pola struct_len MDSCapMatch są pomijane, a nie wymuszane
górna granica. Długość większa niż liczba bajtów pozostałych w wiadomości
front sprawia, że ceph_decode_copy() czyta poza końcem przedniego bufora.

Front wiadomości to dedykowana alokacja (ceph_msg_new2() ->
kvmalloc), więc nadmierny odczyt powoduje uruchomienie tego obiektu. Złośliwy lub
skompromitowany MDS może to wywołać po włączeniu pierwszego komunikatu po połączeniu
montuj bez interakcji użytkownika po stronie klienta; pod KASAN jest to zgłaszane
jako płyta poza granicami odczytana w handle_session().

Zagrożenie: złośliwy MDS może zmusić klienta jądra do odczytania do 4 GiB
poza alokacją frontu komunikatu podczas konfiguracji sesji, powodując awarię
klient (odczyt poza zakresem).

Przełącz obie kopie na ceph_decode_copy_safe(), która wykonuje
ceph_decode_need() sprawdza granice przed kopiowaniem i rozgałęzia się do
istniejąca zła etykieta, pasująca do reszty dekodera i ścieżki błędu
to zwalnia częściowo zdekodowaną tablicę cap_auths.