CVE-2026-97555

Резюме

В ядре Linux устранена следующая уязвимость: smb: client: исправлено переполнение кучи при перезаписи владельца/группы DACL. Когда id_mode_to_cifs_acl перезаписывает существующий DACL, он выделяет буфер размером в соответствии с длиной DACL на диске, указанной в dacl_ptr->size. Однако replace_sids_and_copy_aces может перезаписать каждый ACE новым SID владельца/группы, полученным из upcall cifs.idmap. Эти SID могут содержать до SID_MAX_SUB_AUTHORITIES (15) субагентов, из-за чего каждый ACE может занимать до 76 байт (sizeof(struct smb_ace)). Если исходный DACL содержит короткие SID (например, 1 субагент), а замещающие SID длинные, перезаписанные ACE переполняют выделенную память. Исправление заключается в том, чтобы всегда резервировать место с учётом худшего случая расширения SID: выделять sizeof(struct smb_acl) плюс num_aces * sizeof(struct smb_ace), что покрывает заголовок smb_acl и место для каждого ACE при максимальном размере SID. Это заменяет прежнюю раздельную логику, которая использовала dacl_ptr->size для монтирований cifsacl, но num_aces * sizeof(struct smb_ace) для монтирований mode_from_sid: оба пути могут вызвать одну и ту же перезапись и нуждаются в одинаковом запасе места. KASAN сообщает об этом так: BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs] Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... The buggy address is located 0 bytes to the right of allocated 884-byte region [ffff8881a5e25000, ffff8881a5e25374)

Источники

• CVE-2026-97555Эксплойт

  Анализ, POC и цепочка эксплойта для arm64, использующая переполнение кучи DACL в Linux cifs.ko (CVE-2026-97555) с повышением привилегий до перезаписи учётных данных uid-0 на эталонной сборке.