CVE-2026-97555

Riepilogo

Nel kernel Linux è stata risolta la seguente vulnerabilità: smb: client: correzione dell'heap overflow nella riscrittura di owner/group della DACL. Quando id_mode_to_cifs_acl riscrive una DACL esistente, alloca un buffer dimensionato in base alla lunghezza della DACL su disco riportata da dacl_ptr->size. Tuttavia, replace_sids_and_copy_aces può riscrivere ogni ACE con un nuovo SID di owner/group ottenuto dall'upcall cifs.idmap. Tali SID possono avere fino a SID_MAX_SUB_AUTHORITIES (15) sub-authorities, rendendo ogni ACE fino a 76 byte (sizeof(struct smb_ace)). Se la DACL originale contiene SID brevi (ad esempio, 1 sub-authority) mentre i SID di sostituzione sono lunghi, gli ACE riscritti causano un overflow dell'allocazione. Correggere questo problema dimensionando sempre il budget per il caso peggiore di espansione dei SID: allocare sizeof(struct smb_acl) più num_aces * sizeof(struct smb_ace), il che copre l'header smb_acl e lo spazio per ogni ACE alla dimensione massima del SID. Questo sostituisce la precedente logica separata che utilizzava dacl_ptr->size per i mount cifsacl ma num_aces * sizeof(struct smb_ace) per i mount mode_from_sid: entrambi i percorsi possono attivare la stessa riscrittura e necessitano dello stesso margine. KASAN segnala questo come: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... L'indirizzo difettoso si trova a 0 byte a destra della regione allocata di 884 byte [ffff8881a5e25000, ffff8881a5e25374)

Fonti

• CVE-2026-97555Exploit

  Analisi, POC e catena di exploit arm64 per un heap overflow DACL in cifs.ko su Linux (CVE-2026-97555), con escalation fino alla sovrascrittura delle credenziali uid-0 sulla build di riferimento.