CVE-2026-97555

Zusammenfassung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: smb: client: Heap-Overflow bei der Neuschreibung von DACL-Eigentümer/Gruppe beheben. Wenn id_mode_to_cifs_acl eine bestehende DACL neu schreibt, wird ein Puffer zugewiesen, dessen Größe sich nach der auf dem Datenträger gespeicherten DACL-Länge richtet, die von dacl_ptr->size gemeldet wird. Allerdings kann replace_sids_and_copy_aces jede ACE mit einer neuen Eigentümer-/Gruppen-SID neu schreiben, die aus dem cifs.idmap-Upcall stammt. Diese SIDs können bis zu SID_MAX_SUB_AUTHORITIES (15) Sub-Authorities haben, wodurch jede ACE bis zu 76 Bytes groß wird (sizeof(struct smb_ace)). Wenn die ursprüngliche DACL kurze SIDs enthält (z. B. 1 Sub-Authority), während die Ersatz-SIDs lang sind, laufen die neu geschriebenen ACEs über die Zuweisung hinaus. Beheben Sie dies, indem Sie immer für den Worst-Case-Fall der SID-Erweiterung budgetieren: Weisen Sie sizeof(struct smb_acl) plus num_aces * sizeof(struct smb_ace) zu, was den smb_acl-Header und Platz für jede ACE bei maximaler SID-Größe abdeckt. Dies ersetzt die vorherige aufgeteilte Logik, die dacl_ptr->size für cifsacl-Mounts, aber num_aces * sizeof(struct smb_ace) für mode_from_sid-Mounts verwendete: Beide Pfade können dieselbe Neuschreibung auslösen und benötigen denselben Spielraum. KASAN meldet dies wie folgt: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... The buggy address is located 0 bytes to the right of allocated 884-byte region [ffff8881a5e25000, ffff8881a5e25374)

Quellen

• CVE-2026-97555Exploit

  Analyse, POC und arm64-Exploit-Kette für einen Linux cifs.ko DACL Heap-Overflow (CVE-2026-97555), der auf dem Referenz-Build zu einer Überschreibung der uid-0-Anmeldeinformationen eskaliert.