CVE-2026-68160

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: ceph: ceph_handle_caps() funksiyasında snaptrace üzərində autentifikasiyadan əvvəl sərhəddən kənar oxumanın düzəldilməsi ceph_handle_caps() funksiyası şəbəkə formatındakı ceph_mds_caps başlığından snap_trace_len dəyərini oxuyur və onu qeyd-şərtsiz olaraq saxta son göstərici (snaptrace + snaptrace_len) qurmaq üçün istifadə edir; bu göstərici sonradan CEPH_CAP_OP_IMPORT halında ceph_update_snap_trace() funksiyasına ötürülür: snaptrace = h + 1; snaptrace_len = le32_to_cpu(h->snap_trace_len); p = snaptrace + snaptrace_len; ... case CEPH_CAP_OP_IMPORT: if (snaptrace_len) { ... if (ceph_update_snap_trace(mdsc, snaptrace, snaptrace + snaptrace_len, false, &realm)) { ... } Sonra ceph_update_snap_trace() funksiyası snaptrace-dən struct ceph_mds_snap_realm strukturunu hücumçu tərəfindən verilmiş saxta son göstərici e == snaptrace + snaptrace_len ilə ceph_decode_need(&p, e, sizeof(*ri), bad) vasitəsilə deşifrə edir. snaptrace_len == 0xFFFFFFFF olduqda sərhəd yoxlaması asanlıqla ödənilir, ri = p legit msg->front buferindən sizeof(struct ceph_mds_snap_realm) qədər kənara oxuyur və sonra ri->num_snaps / ri->num_prior_parent_snaps kodlanmış snap massivlərinin sonrakı sərhəddən kənar oxumalarına səbəb olur. Op keçidindən yuxarıda yerləşən on bir msg_version >= 2 .. msg_version >= 12 deşifrə blokunun hər biri bu sərhəddən kənar oxumanı öz ceph_decode_*_safe() / ceph_decode_need() köməkçiləri vasitəsilə tutur, lakin onlar hdr.version ilə şərtlənmiş if-in arxasında yerləşir, buna görə msg->hdr.version = 1 təyin edən zərərli və ya kompromisə uğramış MDS heç bir versiya ilə şərtlənməmiş deşifrəçinin snap_trace_len dəyərini yoxlamadığı IMPORT yoluna çatır. Bu forma ceph_handle_caps() funksiyası təqdim edildiyindən bəri mövcuddur. snap_trace_len dəyərini istifadə etməzdən əvvəl mesajın front buferinə qarşı kanonik ceph_decode_need() / ceph_has_room() köməkçisi ilə yoxlayın. Köməkçi uzunluğu göstərici toplaması əvəzinə çıxma ilə (n <= end - p, end >= p ilə qorunur) məhdudlaşdırır, buna görə 32-bit quruluşlarda p + snap_trace_len ünvan məkanını daşdıra biləcəyi halda hücumçu tərəfindən idarə olunan u32 uzunluğu üçün daşma təhlükəsizdir. Bu, ceph deşifrə yolunun qalan hissəsi ilə (məs. bir neçə sətir aşağıdakı pool_ns_len yoxlaması) uyğundur və mövcud goto bad təmizləməsi artıq bu çıxış yolunu əhatə edir.