CVE-2026-80789

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılmışdır: nvmet-tcp: əmr buferləri ayrılmadan əvvəl SGL məlumat uzunluğunun məhdudlaşdırılması nvmet_tcp_map_data() funksiyası host tərəfindən idarə olunan 32-bitlik sgl->length dəyərini oxuyur və kapsul daxili offset deskriptoru (tip 0x01) üçün istifadə etməzdən əvvəl onu port->inline_data_size ilə müqayisə edir. Digər bütün SGL deskriptor tipləri — o cümlədən kapsul xaricindəki yazmalar üçün real host tərəfindən istifadə edilən qeyri-inline nəqliyyat SGL məlumat bloku deskriptoru (tip (NVME_TRANSPORT_SGL_DATA_DESC << 4) | NVME_SGL_FMT_TRANSPORT_A) həmin yoxlamanı tamamilə ötürür və birbaşa bura keçir: cmd->req.sg = sgl_alloc(len, GFP_KERNEL, &cmd->req.sg_cnt); Burada len dəyəri birbaşa şəbəkədən alınır və 4 GiB-ə qədər məhdudiyyətsiz ola bilir. nvmet_req_init() yalnız əmri analiz edir və heç vaxt sgl->length dəyərini yoxlamır, transfer_len-in təsdiqləndiyi yeganə digər yer olan nvmet_check_transfer_len() isə daha sonra, allokasiya baş verdikdən sonra req->execute() vasitəsilə işə düşür. Yazma əmri üçün hədəf R2T ilə cavab verir və hostun məlumatları göndərməsini gözləyərək əmri saxlayır; əgər host (və ya sadəcə davam etməyən autentifikasiya olunmamış qarşı tərəf) bunu etməzsə, sgl_alloc() buferi əmrin ömrü boyu yaddaşda qalır. NVMe/TCP standart konfiqurasiyada məcburi autentifikasiyaya malik deyil, buna görə də hədəf porta çata bilən və Fabrics bağlantısını tamamlaya bilən hər hansı qarşı tərəf, gücləndirmə məqsədilə növbələr və bağlantılar üzrə təkrarlanan tək bir xüsusi hazırlanmış əmr ilə bunu həyata keçirə bilər. Bu, uzaqdan, faktiki olaraq autentifikasiya olunmamış qarşı tərəf tərəfindən tetiklənən məhdudiyyətsiz nüvə yaddaşı allokasiyasıdır. İstənilən SGL deskriptor tipi üçün hər hansı allokasiya etməzdən əvvəl len dəyərini, bu faylda PDU başına H2C məlumatlarını məhdudlaşdırmaq üçün artıq istifadə edilən eyni NVMET_TCP_MAXH2CDATA limiti ilə yoxlayın. Bu, kapsul daxili hal üçün mövcud olan daha ciddi inline_data_size yoxlamasını saxlayaraq, qeyri-inline deskriptor üçün yaranan boşluğu aradan qaldırır. v6.19 KASAN mühitində runtime yoxlanılıb: bu limit tətbiq edildikdə, həddindən artıq böyük qeyri-inline SGL uzunluğu daşıyan xüsusi hazırlanmış yazma əmri sgl_alloc() işə düşməzdən əvvəl rədd edilir; əvvəllər eyni sorğu, hostun heç vaxt təmin etmədiyi R2T gözləyərkən yaddaşda qalan təxminən 256 MiB (4 GiB-ə qədər) məhdudiyyətsiz nüvə allokasiyasına səbəb olurdu.