CVE-2026-97555

Résumé

Dans le noyau Linux, la vulnérabilité suivante a été corrigée : smb: client: correction d'un débordement de tas lors de la réécriture du propriétaire/groupe de la DACL. Lorsque id_mode_to_cifs_acl réécrit une DACL existante, il alloue un tampon dimensionné selon la longueur de la DACL sur disque indiquée par dacl_ptr->size. Cependant, replace_sids_and_copy_aces peut réécrire chaque ACE avec un nouveau SID de propriétaire/groupe obtenu via l'appel ascendant cifs.idmap. Ces SID peuvent avoir jusqu'à SID_MAX_SUB_AUTHORITIES (15) sous-autorités, ce qui porte chaque ACE à un maximum de 76 octets (sizeof(struct smb_ace)). Si la DACL d'origine contient des SID courts (par exemple, 1 sous-autorité) tandis que les SID de remplacement sont longs, les ACE réécrits débordent de l'allocation. Corrigez cela en prévoyant toujours le pire cas d'expansion des SID : allouez sizeof(struct smb_acl) plus num_aces * sizeof(struct smb_ace), ce qui couvre l'en-tête smb_acl et de la place pour chaque ACE à la taille maximale de SID. Cela remplace la logique scindée précédente qui utilisait dacl_ptr->size pour les montages cifsacl mais num_aces * sizeof(struct smb_ace) pour les montages mode_from_sid : les deux chemins peuvent déclencher la même réécriture et nécessitent la même marge. KASAN rapporte cela comme suit : BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... L'adresse défectueuse est située à 0 octet à droite de la région allouée de 884 octets [ffff8881a5e25000, ffff8881a5e25374)

Sources

• CVE-2026-97555Exploit

  Analyse, POC et chaîne d'exploitation arm64 pour un débordement de tas DACL dans cifs.ko sous Linux (CVE-2026-97555), permettant une escalade vers un écrasement d'identifiants uid-0 sur la version de référence.