CVE-2026-89541

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: SUNRPC: gss_unwrap_resp_priv uzunluq yoxlamaları təkmilləşdirildi gss_unwrap_resp_priv() funksiyası RPCSEC_GSS şəffaf (opaque) uzunluğunu aşağıdakı şəkildə yoxlayır: offset = (u8 *)(p) - (u8 *)head->iov_base; if (offset + opaque_len > rcv_buf->len) goto unwrap_failed; maj_stat = gss_unwrap(ctx->gc_gss_ctx, offset, offset + opaque_len, rcv_buf); Hər iki operand u32 tipindədir və cəm u32 formatında hesablanır. opaque_len dəyəri 0xffffffff-ə yaxın olan cavab, offset + opaque_len cəminin rcv_buf->len-dən kiçik olan kiçik bir dəyərə çevrilməsinə (wrap) səbəb olur, beləliklə sərhəd yoxlamasından keçir və gss_unwrap() funksiyası end < begin şərti ilə çağırılır. Yoxlama həmçinin aşağı sərhədin olmaması ilə xarakterizə olunur, buna görə də [0, GSS_KRB5_TOK_HDR_LEN) diapazonundakı istənilən opaque_len qəbul edilir və gss_krb5_unwrap_v2()-yə ötürülür; bu funksiyanın dekripsiya öncəsi başlığı ptr+4 və ptr+6 ünvanlarını oxuyaraq tokendən kənara çıxır. Xüsusi hazırlanmış RPCSEC_GSS cavabı qaytaran krb5p NFS serveri, klientdə gss_krb5_unwrap_v2() və onu izləyən rotate_left() dövründə sərhədlərdən kənar oxumalara (out-of-bounds reads) səbəb ola bilər. Problem, tək birləşmiş yoxlamanın u32 aritmetikasında təhlükəsiz olan və RFC 4121 minimum xarici token uzunluğunu təmin edən üç mühafizə mexanizmi ilə əvəz edilməsi yolu ilə həll edilmişdir: if (offset > rcv_buf->len) goto unwrap_failed; if (opaque_len > rcv_buf->len - offset) goto unwrap_failed; if (opaque_len < GSS_KRB5_TOK_HDR_LEN) goto unwrap_failed; Birinci mühafizə ikinci mühafizədəki çıxma əməliyyatını qeydsiz şəkildə təhlükəsiz edir; offset dəyəri head kvec daxilində uğurlu xdr_inline_decode() nəticəsindən törəyir, ona görə də praktikada artıq sərhədi təmin edir. Aşağı hədd isə 5b757c2e57a5 ("SUNRPC: svcauth_gss: enforce krb5 token minimum length") commit-ində əlavə edilmiş server tərəfli yoxlamanı əks etdirir.