CVE-2026-97555

요약

Linux 커널에서 다음과 같은 취약점이 해결되었습니다: smb: client: DACL 소유자/그룹 재작성 시 힙 오버플로 수정. id_mode_to_cifs_acl이 기존 DACL을 재작성할 때, dacl_ptr->size가 보고하는 온디스크 DACL 길이에 따라 크기가 결정된 버퍼를 할당합니다. 그러나 replace_sids_and_copy_aces는 cifs.idmap upcall에서 얻은 새로운 소유자/그룹 SID로 각 ACE를 재작성할 수 있습니다. 이러한 SID는 최대 SID_MAX_SUB_AUTHORITIES(15)개의 하위 권한을 가질 수 있어, 각 ACE가 최대 76바이트(sizeof(struct smb_ace))가 될 수 있습니다. 원본 DACL에 짧은 SID(예: 하위 권한 1개)가 포함되어 있고 대체 SID가 긴 경우, 재작성된 ACE가 할당된 버퍼를 오버플로합니다. 항상 최악의 SID 확장을 예산에 포함하여 수정합니다: sizeof(struct smb_acl)에 num_aces * sizeof(struct smb_ace)를 더한 크기를 할당하며, 이는 smb_acl 헤더와 최대 SID 크기의 모든 ACE를 위한 공간을 포함합니다. 이는 cifsacl 마운트에는 dacl_ptr->size를 사용하고 mode_from_sid 마운트에는 num_aces * sizeof(struct smb_ace)를 사용하던 이전 분할 로직을 대체합니다: 두 경로 모두 동일한 재작성을 트리거할 수 있으며 동일한 여유 공간이 필요합니다. KASAN은 이를 다음과 같이 보고합니다: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... 버그가 있는 주소는 할당된 884바이트 영역 [ffff8881a5e25000, ffff8881a5e25374)의 오른쪽 끝에서 0바이트 위치에 있습니다.

소스

• CVE-2026-97555익스플로잇

  Linux cifs.ko DACL 힙 오버플로(CVE-2026-97555)에 대한 분석, POC 및 arm64 익스플로잇 체인으로, 참조 빌드에서 uid-0 자격 증명 덮어쓰기까지 권한을 상승시킵니다.