Odebrany

CVE-2026-90125

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

smb: klient: napraw wyciek bufora żądań w smb2_new_read_req()

smb2_new_read_req() przydziela bufor żądań za pomocą
smb2_plain_req_init(), ale publikuje go tylko wywołującemu za pomocą
*buf = req na samym końcu funkcji. Obowiązują dwa zwroty błędów
pomiędzy:

rc = smb2_plain_req_init(SMB2_READ, io_parms->tcon, serwer,
(void **) &req, total_len);
jeśli (rc)
zwróć RC;

if (serwer == NULL)
powrót -ECONNABORTED;
[...]
rdata->mr = smbd_register_mr(serwer->smbd_conn,
&rdata->subreq.io_iter,
prawda, potrzeba_inwalidacji);
jeśli (!rdata->mr)
powrót -EAGAIN;

Na żadnym z nich bufor nie jest ani zwalniany, ani zwracany, tzw
to wyciekło. Osoba wywołująca nie może po tym posprzątać: smb2_async_readv()
wykonuje polecenie „goto out” przy niezerowym zwrocie, co powoduje pominięcie
cifs_small_buf_release(buf) w async_readv_out i buf nie został
w każdym przypadku przydzielony w tym momencie.

Ścieżka zapisu nigdy nie miała tego problemu. smb2_async_writev()
rejestruje obszar pamięci w linii i przeskakuje do etykiety wydania
zamiast wracać:

wdata->mr = smbd_register_mr(...);
if (!wdata->mr) {
rc = -PONOWNIE;
przejdź do async_writev_out;
}

Zatwierdź b7972092199f („cifs: smbd: Ponów próbę rejestracji pamięci
niepowodzenie”) zmienił obie strony z -ENOBUFS na -EAGAIN w jednym
patch, który umieszcza dwa kształty obok siebie.

W praktyce osiągalny jest tylko powrót -EAGAIN, ponieważ
smb2_plain_req_init() najpierw wywołuje smb2_reconnect() i to już
kończy się niepowodzeniem z -EIO, gdy serwer ma wartość NULL, zanim cokolwiek zostanie przydzielone.
Oba powroty są tutaj traktowane w ten sam sposób, a nie opuszczane
jeden z nich jest poprawny tylko przez przypadek.

Ponieważ -EAGAIN jest błędem, który można odtworzyć, błąd dociera również do
ponów blok na końcu smb2_async_readv(), który oznacza
podżądanie NETFS_SREQ_NEED_RETRY, więc może to oznaczać niepowodzenie rejestracji
ponowiona, zamiast kończyć operację we/wy i każdą próbę, która do niej dotrze
wycieka kolejny bufor. smb2_should_replay() powoduje zwarcie
tcon->retry, więc w przypadku twardego montowania liczba prób nie jest ograniczona
ustawienie ponownego translacji.

Ma to wpływ tylko na asynchroniczną ścieżkę odczytu. Synchroniczny
Funkcja wywołująca SMB2_read() przekazuje rdata == NULL i rejestrację pamięci
blok jest strzeżony na rdata.

Ścieżkę błędu rejestracji pamięci wskazał Sashiko
Recenzent AI podczas przeglądania niepowiązanej łatki
smb2_async_readv().

In the Linux kernel, the following vulnerability has been resolved:

smb: client: fix request buffer leak in smb2_new_read_req()

smb2_new_read_req() allocates the request buffer with
smb2_plain_req_init() but only publishes it to the caller with
*buf = req at the very end of the function. Two error returns sit in
between:

rc = smb2_plain_req_init(SMB2_READ, io_parms->tcon, server,
(void **) &req, total_len);
if (rc)
return rc;

if (server == NULL)
return -ECONNABORTED;
[...]
rdata->mr = smbd_register_mr(server->smbd_conn,
&rdata->subreq.io_iter,
true, need_invalidate);
if (!rdata->mr)
return -EAGAIN;

On either of them the buffer is neither released nor handed back, so
it is leaked. The caller cannot clean up after it: smb2_async_readv()
does 'goto out' on a non-zero return, which skips the
cifs_small_buf_release(buf) at async_readv_out, and buf has not been
assigned at that point in any case.

The write path has never had this problem. smb2_async_writev()
registers the memory region inline and jumps to its release label
instead of returning:

wdata->mr = smbd_register_mr(...);
if (!wdata->mr) {
rc = -EAGAIN;
goto async_writev_out;
}

Commit b7972092199f ("cifs: smbd: Retry on memory registration
failure") changed both sides from -ENOBUFS to -EAGAIN in a single
patch, which puts the two shapes next to each other.

Only the -EAGAIN return is reachable in practice, because
smb2_plain_req_init() calls smb2_reconnect() first and that already
fails with -EIO when server is NULL, before anything is allocated.
Both returns are given the same treatment here rather than leaving
one of them correct only by accident.

Because -EAGAIN is a replayable error, the failure also reaches the
retry block at the end of smb2_async_readv(), which marks the
subrequest NETFS_SREQ_NEED_RETRY, so a failing registration can be
retried rather than ending the I/O, and every attempt that reaches it
leaks another buffer. smb2_should_replay() short-circuits on
tcon->retry, so on a hard mount the attempt count is not bounded by
the retrans setting.

Only the asynchronous read path is affected. The synchronous
SMB2_read() caller passes rdata == NULL and the memory registration
block is guarded on rdata.

The memory registration failure path was pointed out by the Sashiko
AI reviewer while it was reviewing an unrelated patch to
smb2_async_readv().

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve