CVE-2026-89541

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: SUNRPC: gss_unwrap_resp_priv uzunluk kontrolleri sıkılaştırıldı gss_unwrap_resp_priv(), RPCSEC_GSS opak uzunluğunu şu şekilde doğrular: offset = (u8 *)(p) - (u8 *)head->iov_base; if (offset + opaque_len > rcv_buf->len) goto unwrap_failed; maj_stat = gss_unwrap(ctx->gc_gss_ctx, offset, offset + opaque_len, rcv_buf); Her iki operand da u32'dir ve toplam u32 olarak hesaplanır. 0xffffffff değerine yakın bir opaque_len içeren yanıt, offset + opaque_len işleminin rcv_buf->len değerinin altında küçük bir değere dönmesine (wrap) neden olur; böylece sınır kontrolü geçer ve gss_unwrap() fonksiyonu end < begin durumuyla çağrılır. Kontrol ayrıca alt sınırdan yoksundur, bu nedenle [0, GSS_KRB5_TOK_HDR_LEN) aralığındaki herhangi bir opaque_len kabul edilir ve ön şifre çözme başlığı ptr+4 ve ptr+6 konumlarını okuyan ardından belirtecin dışına çıkan gss_krb5_unwrap_v2()'ye iletilir. Özel olarak hazırlanmış bir RPCSEC_GSS yanıtı döndüren bir krb5p NFS sunucusu, istemciyi gss_krb5_unwrap_v2() ve onu takip eden rotate_left() döngüsünde sınır dışı okumalara (out-of-bounds reads) sürükleyebilir. Tekil birleşik kontrolün, u32 aritmetiğinde güvenli olan ve RFC 4121 minimum dış belirteç uzunluğunu zorunlu kılan üç koruma ile değiştirilmesiyle düzeltilmiştir: if (offset > rcv_buf->len) goto unwrap_failed; if (opaque_len > rcv_buf->len - offset) goto unwrap_failed; if (opaque_len < GSS_KRB5_TOK_HDR_LEN) goto unwrap_failed; İlk koruma, ikinci korumadaki çıkarma işlemini koşulsuz olarak güvenli hale getirir; offset, head kvec içindeki başarılı bir xdr_inline_decode() işleminden türetilmiştir, dolayısıyla pratikte zaten sınırı karşılamaktadır. Alt sınır ise 5b757c2e57a5 ("SUNRPC: svcauth_gss: enforce krb5 token minimum length") commit'inde eklenen sunucu tarafındaki kontrolle paraleldir.