CVE-2026-11108 – Desbordamiento de entero en asignador de memoria (kmalloc Sim)

Código del programa (C)

// alloc_sim.c - Vulnerable memory allocator
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

#define MAX_BLOCK 1024

void *my_malloc(size_t size) {
    size_t total = size + sizeof(size_t); // header
    if (total > MAX_BLOCK) return NULL;
    void *ptr = malloc(total);
    if (!ptr) return NULL;
    *(size_t *)ptr = size;
    return ptr + sizeof(size_t);
}

void my_free(void *p) {
    if (!p) return;
    size_t *header = (size_t *)(p - sizeof(size_t));
    free(header);
}

int main() {
    // Craft size that causes integer overflow: 0xFFFFFFFF - sizeof(size_t) + 1 wraps to small number
    size_t huge = 0xFFFFFFFF;  // 4GB - 1
    char *buf = my_malloc(huge - sizeof(size_t) + 1); // overflow: total becomes 0?
    if (buf) {
        // Write far beyond allocated buffer, heap overflow
        memset(buf, 'A', 1000);
        printf("Wrote 1000 bytes to tiny buffer\n");
        my_free(buf);
    }
    return 0;
}

CVE-2026-11108 – Desbordamiento de entero en asignador de memoria

Resumen

Un asignador de memoria personalizado calcula incorrectamente el tamaño total de asignación al sumar un tamaño de cabecera sin comprobaciones de desbordamiento. Al pasar un tamaño cercano a UINT_MAX, el total se desborda hasta convertirse en un valor pequeño, lo que asigna un búfer diminuto pero permite una escritura grande, causando un desbordamiento de montón.

Detalles de la vulnerabilidad

• Tipo: Desbordamiento de entero / Desbordamiento de montón
• Impacto: Ejecución de código arbitrario, corrupción de memoria.
• Causa raíz: La función de asignación no comprueba el desbordamiento al sumar el tamaño de cabecera al tamaño solicitado por el usuario.

Demostración del exploit

Compila y ejecuta:

gcc -o alloc_sim alloc_sim.c -fno-stack-protector
./alloc_sim

El programa escribe muchos más bytes de los que caben en el búfer asignado, corrompiendo los metadatos del montón y probablemente provocando un fallo.