Odebrany

CVE-2026-90413

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

IB/isert: odrzuć logowanie PDU deklarujące więcej danych niż otrzymano

isert_login_recv_done() rejestruje, ile bajtów faktycznie umieścił HCA
bufor logowania, ale nic nie porównuje tego z długością logowania
Deklaruje BHS PDU. isert_rx_login_req() kopiuje min(login_req_len,
MAX_KEY_VALUE_PAIRS) bajtów do login->req_buf, a następnie kod logowania
odczytuje zadeklarowaną długość z tego bufora - dla pierwszego PDU w
iscsi_target_locate_portal(),

długość_ładowania = ntoh24(login_req->dlength);
tmpbuf = kmemdup_nul(login->req_buf, długość_ładowania, GFP_KERNEL);

i dla tych po nim w iscsi_decode_text_input(), osiągane z
iscsi_target_do_login().

login->req_buf to stała alokacja bajtów MAX_KEY_VALUE_PAIRS (8192), więc
inicjator, który deklaruje więcej niż wysyła, odczytuje jego koniec,
przed uwierzytelnieniem i przy kontrolowanej przez niego długości:

BŁĄD: KASAN: płyta poza granicami w kmemdup_nul+0x43/0x80
Odczyt rozmiaru 8193 pod adresem ffff8881056a8000 w zadaniu iscsi_np/167
__asan_memcpy+0x23/0x60
kmemdup_nul+0x43/0x80
iscsi_target_locate_portal+0x48d/0x1180
iscsi_target_login_thread+0x19a9/0x3350
Przydzielone przez zadanie 167:
__kmalloc_cache_noprof+0x158/0x370
iscsi_target_login_thread+0x971/0x3350
który należy do pamięci podręcznej kmalloc-8k o rozmiarze 8192
przydzielony region 8192-bajtowy

Zamiast tego sfałszowanie drugiego PDU logowania dociera do drugiego czytnika na stronie
ten sam bufor:

BŁĄD: KASAN: płyta poza granicami w kmemdup_nul+0x43/0x80
Odczytanie rozmiaru 8193 pod adresem ffff888104d10000 przez zadanie kworker/1:1/50
Kolejka robocza: isert_login_wq iscsi_target_do_login_rx
__asan_memcpy+0x23/0x60
kmemdup_nul+0x43/0x80
iscsi_decode_text_input+0xc6/0x11c0
iscsi_target_do_login+0x261/0x1470
iscsi_target_do_login_rx+0x51d/0x7d0

iscsit przez TCP nie jest ujawniany: iscsit_get_login_rx() sprawdza poprawność
zadeklarowana długość za pomocą iscsi_target_check_login_request(), a następnie odczytuje
dokładnie tyle bajtów poza gniazdem, więc decyduje deklarowana długość
ile przybywa, a nie ile jest kopiowane z już wypełnionego
bufor. isert w ogóle nie wywołuje metody iscsi_target_check_login_request().

Odrzuć PDU logowania, którego zadeklarowana długość DataSegmentLength przekracza wartość poprzednią
otrzymane w obu ścieżkach prowadzących do isert_rx_login_req():
isert_get_login_rx() dla pierwszego logowania PDU i isert_login_recv_done()
dla tych, którzy po nim nastąpią. dlength <= login_req_len jest dozwolone, ponieważ
odebrana liczba może obejmować maksymalnie trzy bajty uzupełnienia iSCSI.

Po dokonaniu czeku kopia wysłana nie może już przekraczać kopii w:
opublikowany login SGE to ISER_RX_PAYLOAD_SIZE, więc login_req_len nie może
przekracza MAX_KEY_VALUE_PAIRS, a min() w isert_rx_login_req() wynosi
login_req_len.

Podobnie jak istniejąca kontrola krótkich PDU dodana przez 29e7b925ae6d, odrzucenie w
isert_login_recv_done() zwraca bez ukończenia login_req_comp, więc a
zniekształcone kolejne PDU powodują, że login zostaje usunięty przez login
timer, zamiast natychmiastowego niepowodzenia. Ścieżka pierwszej jednostki PDU zwraca plik
błąd i od razu kończy się niepowodzeniem.

Powielone w wersji 7.2.0-rc4 z soft-RoCE (rdma_rxe) pod KASAN, przy użyciu
inicjator, który wysyła prawdziwy ładunek klucz=wartość podczas deklarowania 8193 cali
BHS, na pierwszym PDU logowania i na drugim w oddzielnych przebiegach. The
raportowany rozmiar odczytu dokładnie śledzi zadeklarowaną wartość; 16384 i 61440
zachowywać się tak samo. Niezałatany raport z 3 z 3 uruchomień na każdej z dwóch ścieżek,
poprawiono 0 z 3 na obu, uruchamiaj naprzemiennie w jednej sesji i normalnie
logowanie nadal kończy się w poprawionej wersji.

In the Linux kernel, the following vulnerability has been resolved:

IB/isert: reject login PDUs declaring more data than was received

isert_login_recv_done() records how many bytes the HCA actually placed in
the login buffer, but nothing compares that against the length the login
PDU's BHS declares. isert_rx_login_req() copies min(login_req_len,
MAX_KEY_VALUE_PAIRS) bytes into login->req_buf, and the login code then
reads the declared length back out of that buffer - for the first PDU in
iscsi_target_locate_portal(),

payload_length = ntoh24(login_req->dlength);
tmpbuf = kmemdup_nul(login->req_buf, payload_length, GFP_KERNEL);

and for the ones after it in iscsi_decode_text_input(), reached from
iscsi_target_do_login().

login->req_buf is a fixed MAX_KEY_VALUE_PAIRS (8192) byte allocation, so
an initiator that declares more than it sends reads off the end of it,
before authentication and with the length under its control:

BUG: KASAN: slab-out-of-bounds in kmemdup_nul+0x43/0x80
Read of size 8193 at addr ffff8881056a8000 by task iscsi_np/167
__asan_memcpy+0x23/0x60
kmemdup_nul+0x43/0x80
iscsi_target_locate_portal+0x48d/0x1180
iscsi_target_login_thread+0x19a9/0x3350
Allocated by task 167:
__kmalloc_cache_noprof+0x158/0x370
iscsi_target_login_thread+0x971/0x3350
which belongs to the cache kmalloc-8k of size 8192
allocated 8192-byte region

Falsifying the second login PDU instead reaches the other reader, on the
same buffer:

BUG: KASAN: slab-out-of-bounds in kmemdup_nul+0x43/0x80
Read of size 8193 at addr ffff888104d10000 by task kworker/1:1/50
Workqueue: isert_login_wq iscsi_target_do_login_rx
__asan_memcpy+0x23/0x60
kmemdup_nul+0x43/0x80
iscsi_decode_text_input+0xc6/0x11c0
iscsi_target_do_login+0x261/0x1470
iscsi_target_do_login_rx+0x51d/0x7d0

iscsit over TCP is not exposed: iscsit_get_login_rx() validates the
declared length with iscsi_target_check_login_request() and then reads
exactly that many bytes off the socket, so the declared length governs
how much arrives rather than how much is copied out of an already-filled
buffer. isert does not call iscsi_target_check_login_request() at all.

Reject a login PDU whose declared DataSegmentLength exceeds what was
received, in both paths that reach isert_rx_login_req():
isert_get_login_rx() for the first login PDU and isert_login_recv_done()
for the ones after it. dlength <= login_req_len is allowed because the
received count can include up to three bytes of iSCSI padding.

Once the check is in place the copy out can no longer exceed the copy in:
the posted login SGE is ISER_RX_PAYLOAD_SIZE, so login_req_len cannot
exceed MAX_KEY_VALUE_PAIRS and the min() in isert_rx_login_req() is
login_req_len.

Like the existing short-PDU check added by 29e7b925ae6d, the reject in
isert_login_recv_done() returns without completing login_req_comp, so a
malformed subsequent PDU leaves the login to be torn down by the login
timer rather than failing immediately. The first-PDU path returns an
error and fails straight away.

Reproduced on 7.2.0-rc4 with soft-RoCE (rdma_rxe) under KASAN, using an
initiator that sends the real key=value payload while declaring 8193 in
the BHS, on the first login PDU and on the second in separate runs. The
reported read size tracks the declared value exactly; 16384 and 61440
behave the same. Unpatched 3 of 3 runs report on each of the two paths,
patched 0 of 3 on both, run alternately in a single session, and a normal
login still completes on the patched build.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve