CVE-2026-31712

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ksmbd: smb_check_perm_dacl() fonksiyonunda minimum ACE boyutu gereksinimi smb_check_perm_dacl() içerisindeki her iki ACE-walk döngüsü de yalnızca yetersiz kalan tampon belleğe karşı koruma sağlamakta, beyan edilen `ace->size` değerinin tanımladığı yapıdan daha küçük olduğu durumları engellememektedir: if (offsetof(struct smb_ace, access_req) > aces_size) break; ace_size = le16_to_cpu(ace->size); if (ace_size > aces_size) break; İlk kontrol yalnızca 4 baytlık ACE başlığının sınırlar içinde olmasını gerektirmekte; offset 4'teki access_req (4 bayt) kısmının okunabilir olmasını şart koşmamaktadır. Sahibi olduğu bir dosya üzerinde özel olarak hazırlanmış bir DACL ayarlayan bir saldırgan, aces_size == 4 iken ace->size == 4 şeklinde beyanda bulunarak her iki kontrolü de geçebilir ve ardından şunlar gerçekleşir: granted |= le32_to_cpu(ace->access_req); /* üst döngü */ compare_sids(&sid, &ace->sid); /* alt döngü */ Bu işlem, offset 4'te bulunan access_req'i (4 bayta kadar OOB) ve offset 8'deki ace->sid'i (CIFS_SID_BASE_SIZE + SID_MAX_SUB_AUTHORITIES * 4 bayta kadar OOB) okur. Her iki döngü, şu şartı gerektirecek şekilde sıkılaştırılmıştır: ace_size >= offsetof(struct smb_ace, sid) + CIFS_SID_BASE_SIZE Bu, ağ üzerindeki en küçük geçerli ACE düzenidir (4 baytlık başlık + 4 baytlık access_req + sıfır alt yetkilendirme ile 8 baytlık sid tabanı). Ayrıca, compare_sids() fonksiyonunun sub_auth[] girişlerini çözümlemesine izin vermeden önce, sid.num_subauth değeri SID_MAX_SUB_AUTHORITIES değerini aşan ACE'ler reddedilir. parse_sec_desc() zaten eşdeğer bir kontrol uygulamaktadır (satır 441-448); smb_check_perm_dacl() zamanla daha zayıf bir doğrulamaya sahip olmuştur. Erişilebilirlik: Bir dosya üzerinde ACL ayarlama iznine sahip kimliği doğrulanmış SMB istemcisi. Söz konusu dosyaya yönelik sonraki bir CREATE işlemi sırasında çekirdek, saklanan DACL'yi smb_check_perm_dacl() aracılığıyla tarar ve OOB okumayı tetikler. Kimlik doğrulama öncesi (pre-auth) değildir ve OOB okuma saldırgana yansıtılmaz, ancak KASAN raporları ve çekirdek durum bozulmaları mümkündür.