CVE-2026-31402

ملخص

في نواة لينكس، تم حل الثغرة الأمنية التالية: nfsd: إصلاح تجاوز سعة الكومة في ذاكرة التخزين المؤقت لإعادة تشغيل LOCK في NFSv4.0 تستخدم ذاكرة التخزين المؤقت لإعادة تشغيل NFSv4.0 مخزنًا مؤقتًا ثابتًا بحجم 112 بايت (rp_ibuf[NFSD4_REPLAY_ISIZE]) لتخزين استجابات العمليات المشفرة. تم حساب هذا الحجم بناءً على استجابات OPEN ولا يأخذ في الاعتبار استجابات رفض LOCK، والتي تتضمن مالك القفل المتعارض كحقل متغير الطول يصل إلى 1024 بايت (NFS4_OPAQUE_LIMIT). عندما يتم رفض عملية LOCK بسبب تعارض مع قفل موجود يملك مالكًا كبيرًا، تقوم nfsd4_encode_operation() بنسخ الاستجابة المشفرة بالكامل إلى المخزن المؤقت لإعادة التشغيل صغير الحجم عبر read_bytes_from_xdr_buf() دون أي فحص للحدود. يؤدي هذا إلى كتابة خارج حدود الشريحة (slab-out-of-bounds) تصل إلى 944 بايت بعد نهاية المخزن المؤقت، مما يؤدي إلى إتلاف ذاكرة الكومة المجاورة. يمكن استغلال هذا عن بُعد بواسطة مهاجم غير مصادق باستخدام عميلي NFSv4.0 متعاونين: أحدهما يضبط قفلًا بسلسلة مالك كبيرة، ثم يطلب الآخر قفلًا متعارضًا لاستفزاز الرفض. يمكننا إصلاح ذلك بزيادة NFSD4_REPLAY_ISIZE للسماح بمعرّف كامل، لكن ذلك سيزيد من حجم كل مالك حالة (stateowner)، بينما معظم مالكي الأقفال ليسوا بهذا الحجم الكبير. بدلاً من ذلك، نصلح ذلك بالتحقق من طول الاستجابة المشفرة مقابل NFSD4_REPLAY_ISIZE قبل النسخ إلى المخزن المؤقت لإعادة التشغيل. إذا كانت الاستجابة كبيرة جدًا، اضبط rp_buflen على 0 لتخطي تخزين حمولة إعادة التشغيل مؤقتًا. لا تزال الحالة مخزنة مؤقتًا، وقد تلقى العميل بالفعل الاستجابة الصحيحة في الطلب الأصلي.

• CVE-2026-31402إعلامية

  CVE-2026-31402