CVE-2026-89538

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: SUNRPC: Aşırı boyutlu ec alanına sahip krb5 v2 sarmalama belirteçlerini reddet gss_krb5_unwrap_v2(), buf->len değerini, head[0].iov_len'den (tahsis edilen alma sayfası kapasitesi) çok daha küçük olabilen mantıksal bir uzunluğa ayarlar. Ardından, Kerberos v2 belirteç başlığındaki 16 bitlik "ek sayım" (ec) alanından türetilen bir kırpma uzunluğu ile xdr_buf_trim() fonksiyonunu çağırır. ec alanı, şifre çözme sonrası şifreli başlık kopyasına karşı yapılan memcmp() ile kimliği doğrulanır, bu nedenle rastgele değiştirilmiş bir değer reddedilir. Ancak, geçerli bir GSS bağlamına sahip olan herhangi bir eş, ec değeri düz metin uzunluğunu aşan bir belirteci yasal olarak şifreleyebilir. RFC 4121 uyarınca böyle bir belirteç yapısal olarak hatalıdır. xdr_buf_trim() artık işaretsiz alt taşmayı (unsigned underflow) önlemek için buf->len çıkarma işlemini sınırlasa da, ec aşırı boyutlu olduğunda tampon bellek hala anlamsal olarak geçersiz bir durumda (sıfır uzunluk, tutarsız iov uzunlukları) kalmaktadır. Çağıranlara tanımlı bir GSS_S_DEFECTIVE_TOKEN hatası vermek ve xdr_buf yapısını dahili olarak tutarlı tutmak için bu belirteçleri xdr_buf_trim() çağrılmadan önce reddedin. Sarmalanmış veri bloğu sıfırdan farklı bir ofsetle başlar -- her iki çağıran da len değerini ofset + opaque_len olarak iletir -- dolayısıyla buf->len hala bloktan önce gelen ofset baytlarını saymaya devam eder. Kırpma uzunluğunu tüm tampon bellek yerine kalan sarmalanmış segmente (buf->len - ofset) göre karşılaştırın; yalnızca buf->len ile karşılaştırmak, aşırı boyutlu bir ec değerinin testi geçmesine ve xdr_buf_trim()'in bloktan önceki baytları kesmesine neden olan ofset genişliğinde bir boşluk bırakır.