CVE-2026-97555

Resumo

No kernel Linux, a seguinte vulnerabilidade foi resolvida: smb: client: corrige estouro de heap na reescrita de proprietário/grupo da DACL Quando id_mode_to_cifs_acl reescreve uma DACL existente, ele aloca um buffer dimensionado de acordo com o comprimento da DACL em disco informado por dacl_ptr->size. No entanto, replace_sids_and_copy_aces pode reescrever cada ACE com um novo SID de proprietário/grupo obtido do upcall cifs.idmap. Esses SIDs podem ter até SID_MAX_SUB_AUTHORITIES (15) subautoridades, fazendo com que cada ACE tenha até 76 bytes (sizeof(struct smb_ace)). Se a DACL original contiver SIDs curtos (por exemplo, 1 subautoridade) enquanto os SIDs de substituição forem longos, os ACEs reescritos transbordam a alocação. Corrija isso sempre orçando para a expansão de SID no pior caso: aloque sizeof(struct smb_acl) mais num_aces * sizeof(struct smb_ace), o que cobre o cabeçalho smb_acl e espaço para cada ACE no tamanho máximo de SID. Isso substitui a lógica dividida anterior que usava dacl_ptr->size para montagens cifsacl, mas num_aces * sizeof(struct smb_ace) para montagens mode_from_sid: ambos os caminhos podem acionar a mesma reescrita e precisam da mesma margem. O KASAN relata isso como: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... O endereço com bug está localizado 0 bytes à direita da região alocada de 884 bytes [ffff8881a5e25000, ffff8881a5e25374)

Fontes

• CVE-2026-97555Exploit

  Análise, POC e cadeia de exploração arm64 para um heap overflow de DACL no cifs.ko do Linux (CVE-2026-97555), escalando para uma sobrescrita de credenciais uid-0 na build de referência.