CVE-2026-68100

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ksmbd: set_ntacl_dacl içinde ACE kopyalanırken num_subauth doğrulaması yapılması set_ntacl_dacl(), saldırgan tarafından kontrol edilen saklı güvenlik tanımlayıcısındaki her bir ACE'yi, sid.num_subauth değerini kontrol etmeden yanıt DACL'sine olduğu gibi kopyalar. ACE baytları (kontrol edilmemiş num_subauth dahil), ksmbd_vfs_set_sd_xattr() aracılığıyla ham olarak saklanan kimliği doğrulanmış bir SMB2_SET_INFO(SecInfo=DACL) işleminden kaynaklanır; parse_dacl() hatalı bir ACE'yi hata döndürmek yerine `break` ile reddeder, bu nedenle parse_sec_desc() hala başarı döndürür ve bozuk SD, xattr'a bozulmadan ulaşır. POSIX erişim ACL'si taşıyan bir inode için yapılan sonraki bir SMB2_QUERY_INFO(SecInfo=DACL) isteğinde, build_sec_desc() -> set_ntacl_dacl() -> set_posix_acl_entries_dacl() kopyalanan ACE'ler üzerinde gezinir ve şunları okur: ntace->sid.sub_auth[ntace->sid.num_subauth - 1] Burada num_subauth doğrudan saklanan SD'den alınmıştır. sub_auth[] dizisi SID_MAX_SUB_AUTHORITIES (15) ile sabitlendiğinden, özel olarak hazırlanmış bir num_subauth (örneğin 255), kimliği doğrulanmış bir istemci tarafından tamamen kontrol edilen bir ofset ile yaklaşık 1 KB boyutunda sınır dışı yığın okumasına (out-of-bounds heap read) neden olur. Benzer fonksiyonlar halihazırda bu alanı denetlemektedir: parse_dacl() -- num_subauth == 0 || > SID_MAX_SUB_AUTHORITIES parse_sid() -- num_subauth > SID_MAX_SUB_AUTHORITIES smb_copy_sid() -- min_t(u8, num_subauth, SID_MAX_SUB_AUTHORITIES) set_ntacl_dacl(), bu kontrolü atlayan tek tutarsız yoldur. ACE kopyalanmadan önce set_ntacl_dacl() fonksiyonuna, parse_dacl() tarafından uygulanan denetime uygun aynı num_subauth doğrulaması eklenmiştir.