CVE-2026-72084

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: scsi: target: Bound PR-OUT TransportID parsing to the received buffer core_scsi3_decode_spec_i_port() və core_scsi3_emulate_register_and_move() funksiyaları raw PERSISTENT RESERVE OUT parametr buferini neçə baytın etibarlı olduğunu bildirmədən target_parse_pr_out_transport_id() funksiyasına ötürür. iSCSI TransportID (FORMAT CODE 01b) üçün iscsi_parse_pr_out_transport_id() funksiyası məhdudiyyətsiz strstr() vasitəsilə ",i,0x" ISID ayırıcısını tapır (və xəta yolunda adı yenidən məhdudiyyətsiz "%s" ilə çap edir). İnisiator elə bir TransportID təqdim edə bilər ki, onun iSCSI adında nə ",i,0x" alt sətiri, nə də NUL terminatoru olsun və parametr siyahısı sonuna qədər dolsun, beləliklə skan buferin sonundan kənara çıxsın. Parametr siyahısı birdən çox səhifəni əhatə etdikdə, bufer çoxsəhifəli vmap (transport_kmap_data_sg()) olur, buna görə də həddindən artıq oxuma (over-read) sondakı vmalloc mühafizə səhifəsinə keçir və oops törədir (KASAN: vmalloc-out-of-bounds in strstr). Bu, o cümlədən vhost-scsi vasitəsilə qonağın, iSCSI TPG vasitəsilə ixrac edilən cihazla PR OUT ötürən hər hansı fabric tərəfindən əlçatandır. Qəbul edilmiş baytların sayını parser-ə ötürün və iSCSI TransportID-nin özünün təsvir etdiyi uzunluğunu (ADDITIONAL LENGTH + 4) öncədən bir dəfə yoxlayın: əgər bu spc4r17 minimumundan aşağıdırsa və ya qəbul edilmiş buferdən böyükdürsə, onu rədd edin, sonra ayırıcı axtarışını, ISID gəzintisini və adın surətləndirilməsini həmin uzunluqla məhdudlaşdırın. Bu, çağırıcıların artıq parsningdən sonra yerinə yetirdiyi uzunluq yoxlamasıdır (core_scsi3_decode_spec_i_port() tid_len-i tpdl ilə müqayisə edir, core_scsi3_emulate_register_and_move() onu data_length ilə yoxlayır) və indi skandan əvvələ köçürülüb. Həmçinin, terminatoru olmayan adın məhdudiyyətsiz "%s" hissəsini silin. i_str-ə kopyalamazdan əvvəl min_t ilə səssiz şəkildə kəsmək əvəzinə, hər format üçün açıq ad-uzunluğu yoxlamalarını əlavə edin: FORMAT CODE 00b üçün deskriptor gövdəsi (tid_len - 4 bayt) i_str[TRANSPORT_IQN_LEN]-ə sığmasa rədd edin; FORMAT CODE 01b üçün ad hissəsi (&buf[4]-dən ayırıcıya qədər) sığmasa rədd edin. Hər iki yoxlama hər bir format budağında sərhəd məqsədini aşkar edir. Eyni zamanda, ",i,0x" ayırıcısı deskriptorun tam sonunda yerləşən FORMAT CODE 01b TransportID-sini də rədd edin: bu, boş bir ISID saxlayır və qaytarılan port nexus göstəricisini buf + tid_len-ə, yəni deskriptordan bir addım sonraya yönəldir, qeydiyyat kodu (__core_scsi3_locate_pr_reg(), __core_scsi3_alloc_registration()) isə daha sonra bunu ISID sətiri kimi istifadə edir (dereference) — bu, yanlış formalaşdırılmış deskriptor üçün parametr buferinin eyni həddindən artıq oxunmasıdır.