CVE-2026-63887

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: scsi: target: iscsi: iscsi_encode_text_output() funksiyasının rsp_buf-a əlavələri məhdudlaşdırılıb iscsi_encode_text_output() funksiyası "key=value\0" qeydlərini iscsit_alloc_login_setup_buffer() funksiyasında ayrılan 8192 baytlıq kzalloc(MAX_KEY_VALUE_PAIRS) buferi olan login->rsp_buf-a birləşdirir. Bu funksiyadakı üç sprintf() çağırışı (v7.1-rc2-də 1398, 1411, 1424-cü sətirlər) qalan bufer tutumunu heç vaxt yoxlamır: *length += sprintf(output_buf, "%s=%s", er->key, er->value); *length += 1; output_buf = textbuf + *length; iscsi_target_check_login_request() funksiyasındakı 8192 baytlıq hədd *giriş* Login PDU yükünü məhdudlaşdırır, lakin tək bir PDU 2048-ə qədər minimal dörd baytlıq "a=b\0" cütü daşıya bilər və hər naməlum açar iscsi_add_notunderstood_response() vasitəsilə 16 baytlıq "a=NotUnderstood\0" çıxış qeydinə genişlənir. 2048 * 16 = 32 KiB çıxış 8 KiB buferə yazılır və kmalloc-8k slabında ~24 KiB yığın daşmasına səbəb olur. Düzəliş qalan buferə qarşı hər çağırışda sərhəd yoxlaması ilə snprintf() istifadə edən statik iscsi_encode_text_record() köməkçi funksiyasını təqdim edir və iscsi_encode_text_output() funksiyasına u32 textbuf_size parametrini ötürür. iscsi_target_handle_csg_zero() (PHASE_SECURITY) və iscsi_target_handle_csg_one() (PHASE_OPERATIONAL) funksiyalarındakı hər iki çağırış yeri MAX_KEY_VALUE_PAIRS ötürür. Daşma zamanı kodlayıcı vəziyyəti jurnala yazır, növbəyə qoyulmuş qeydləri atmaq üçün iscsi_release_extra_responses() funksiyasını çağırır və -1 qaytarır; hər iki çağıran yer indi qayıtmazdan əvvəl iscsit_tx_login_rsp() vasitəsilə ISCSI_STATUS_CLS_INITIATOR_ERR / ISCSI_LOGIN_STATUS_INIT_ERR yayır, beləliklə təşəbbüskar səssiz bağlantı kəsilməsi əvəzinə açıq uğursuz giriş cavabı görür. (Bu yamaqdan əvvəl yalnız PHASE_OPERATIONAL çağıranı bunu edirdi; PHASE_SECURITY çağıranı da eyni formaya çevrilir.)