CVE-2026-68160

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: ceph: ceph_handle_caps() fonksiyonundaki snaptrace üzerinde kimlik doğrulama öncesi sınır dışı okuma hatası düzeltildi ceph_handle_caps(), tel formatındaki ceph_mds_caps başlığından snap_trace_len değerini okur ve bunu, daha sonra CEPH_CAP_OP_IMPORT durumunda ceph_update_snap_trace() fonksiyonuna iletilen sahte bir bitiş işaretçisi (snaptrace + snaptrace_len) oluşturmak için koşulsuz olarak kullanır: snaptrace = h + 1; snaptrace_len = le32_to_cpu(h->snap_trace_len); p = snaptrace + snaptrace_len; ... case CEPH_CAP_OP_IMPORT: if (snaptrace_len) { ... if (ceph_update_snap_trace(mdsc, snaptrace, snaptrace + snaptrace_len, false, &realm)) { ... } Ardından ceph_update_snap_trace(), saldırgan tarafından sağlanan sahte bitiş noktası olan e == snaptrace + snaptrace_len ile ceph_decode_need(&p, e, sizeof(*ri), bad) kullanarak snaptrace üzerinden bir struct ceph_mds_snap_realm yapısını çözer. snaptrace_len == 0xFFFFFFFF olduğunda sınır kontrolü kolayca karşılanır, ri = p işlemi meşru msg->front tamponunun ötesinden sizeof(struct ceph_mds_snap_realm) kadar veri okur ve ardından ri->num_snaps / ri->num_prior_parent_snaps, kodlanmış snap dizilerinin daha fazla sınır dışı okunmasına neden olur. Op anahtarının üzerindeki on bir adet msg_version >= 2 .. msg_version >= 12 çözücü bloğu, bu sınır dışı okumayı kendi ceph_decode_*_safe() / ceph_decode_need() yardımcıları aracılığıyla yakalar ancak bunlar hdr.version kontrollü bir if bloğunun arkasındadır; bu nedenle msg->hdr.version = 1 olarak ayarlayan kötü niyetli veya ele geçirilmiş bir MDS, snap_trace_len değeri herhangi bir versiyon kontrollü çözücü tarafından doğrulanmadan IMPORT yoluna ulaşır. Bu yapı, ceph_handle_caps() tanıtıldığından beri mevcuttur. Kanonik ceph_decode_need() / ceph_has_room() yardımcısını kullanarak, tüketmeden önce snap_trace_len değerini mesaj ön tamponuna göre doğrulayın. Yardımcı, uzunluğu işaretçi eklemesi yerine çıkarma işlemiyle (n <= end - p, end >= p korumalı) sınırladığı için, p + snap_trace_len değerinin adres alanını aşabileceği 32-bit derlemelerde saldırgan kontrollü u32 uzunluğu için sarmalama güvenlidir (wrap-safe). Bu işlem, ceph çözümleme yolunun geri kalanıyla (örneğin birkaç satır aşağıdaki pool_ns_len kontrolü) uyumludur ve mevcut goto bad temizleme işlemi zaten bu çıkış yolunu kapsamaktadır.