CVE-2026-89648

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: ceph: ceph_parse_deleg_inos() fonksiyonunda delegasyon verilmiş inode sayısına sınır getirildi ceph_parse_deleg_inos(), bir MDS create-with-delegation yanıtından gelen delegasyon verilmiş inode numaralarının aralık kümelerini çözer. Her küme için ceph_decode_64_safe() ile 64 bitlik bir başlangıç ve 64 bitlik bir uzunluk okur; bu fonksiyon yalnızca sekiz baytın mesajda mevcut olduğunu doğrular, değeri doğrulamaz ve ardından s_delegated_inos içerisine girişler ekleyerek len üzerinden döngü kurar. len tamamen saldırgan kontrolündedir. Kötü niyetli veya ele geçirilmiş bir MDS; tek bir devasa aralık, tek bir yanıtta birçok aralık, yinelenen aralıklar veya aynı oturumda delegasyon verilmiş inode'ları biriktiren tekrarlanan yanıtlar gönderebilir. Orijinal kod bunlardan hiçbirini sınırlamamıştı ve ekleme döngüsünü sonsuza kadar döndürebilir veya xarray yapısını limitsiz şekilde büyütebilirdi. Her iki boyut da tek bir uygulama noktasıyla sınırlandırılmıştır. Her MDS oturumu tarafından tutulan delegasyon verilmiş inode sayısı atomik bir sayaçla takip edilir ve bu sayı yalnızca, sayacı CEPH_MAX_DELEG_INOS değerinin üzerine çıkarmayı reddetmek için atomic_add_unless() kullanan ceph_insert_deleg_ino() fonksiyonunda artırılır. Bu yardımcı fonksiyon sayacın arttığı tek yer olduğu için, oturum başına popülasyon sınırı asla aşamaz, dolayısıyla ayrı bir oturum başı ön kontrolüne gerek kalmaz. Sayaç, asenkron oluşturma işlemi delegasyon verilmiş bir inode tükettiğinde veya bir ekleme başarısız olduğunda azaltılır; delegasyon verilmiş bir inode geri yüklendiğinde artırılır, oturum xarray'i ile başlatılır ve yeniden bağlantı xarray'i yok ettiğinde sıfırlanır. Yalnızca oturum başına sınır getirmek, hala tek bir yanıtın sayacı büyütmeden yinelenen aralıklarda ekleme döngüsünü döndürmesine izin verir; bu nedenle tek bir yanıttan kabul edilen toplam aralık uzunluğuna da sınır getirilmiştir. Bunlar birlikte, hem yanıt başına döngü tekrar sayısını hem de yanıtlar genelindeki xarray popülasyonunu sınırlar. Sınır, MDS'den türetilen bir değer yerine sabit, istemci tarafından seçilen bir sabittir. mds_client_prealloc_inos kullanıcı alanı MDS yapılandırma seçeneğidir; ağ üzerinden çekirdek istemcisine asla gönderilmez ve sunucu tarafından sağlanan bir sınıra savunmacı bir limit için her durumda güvenilemez. Sabit, söz konusu seçeneğin belgelenmiş varsayılan değeri olan 1000'in oldukça üzerinde (cömert bir katı) ayarlanmıştır; böylece meşru doldurma davranışı etkilenmezken, hatalı biçimlendirilmiş bir delegasyon akışının tüketebileceği CPU ve xarray belleği sınırlı kalır. Etki: Kötü niyetli veya ele geçirilmiş bir Ceph MDS artık bir istemcinin sınırsız bir delegasyon verilmiş inode aralığında dönmesini veya bir oturumun delegasyon verilmiş inode xarray yapısını limitsiz şekilde büyütmesini sağlayamaz.