CVE-2026-97555

Resumen

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corrige el desbordamiento de heap en la reescritura del propietario/grupo del DACL. Cuando id_mode_to_cifs_acl reescribe un DACL existente, asigna un búfer dimensionado según la longitud del DACL en disco indicada por dacl_ptr->size. Sin embargo, replace_sids_and_copy_aces puede reescribir cada ACE con un nuevo SID de propietario/grupo obtenido de la llamada ascendente cifs.idmap. Esos SID pueden tener hasta SID_MAX_SUB_AUTHORITIES (15) subautoridades, lo que hace que cada ACE ocupe hasta 76 bytes (sizeof(struct smb_ace)). Si el DACL original contiene SID cortos (por ejemplo, 1 subautoridad) mientras que los SID de reemplazo son largos, las ACE reescritas desbordan la asignación. Corrija esto presupuestando siempre la expansión del SID en el peor caso: asigne sizeof(struct smb_acl) más num_aces * sizeof(struct smb_ace), lo que cubre la cabecera smb_acl y espacio para cada ACE con el tamaño máximo de SID. Esto reemplaza la lógica dividida anterior que usaba dacl_ptr->size para los montajes cifsacl pero num_aces * sizeof(struct smb_ace) para los montajes mode_from_sid: ambas rutas pueden desencadenar la misma reescritura y necesitan el mismo margen. KASAN informa esto como: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... La dirección defectuosa se encuentra 0 bytes a la derecha de la región asignada de 884 bytes [ffff8881a5e25000, ffff8881a5e25374)

Fuentes

• CVE-2026-97555Exploit

  Análisis, POC y cadena de explotación para arm64 de un desbordamiento de heap DACL en cifs.ko de Linux (CVE-2026-97555), que escala a una sobrescritura de credenciales de uid-0 en la compilación de referencia.