CVE-2026-89761

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: apparmor: bir etiket vec'ini null ile sonlandırırken meydana gelen sınır dışı yazma hatası düzeltildi aa_vec_unique(), VEC_FLAG_TERMINATE parametresi geçildiğinde vec[n - dups] konumunda null sonlandırması yapar. Bileşenlerin tamamı farklıysa hiçbir kopya kaldırılmaz, dups değeri 0 olur ve sonlandırıcı vec[n] konumuna gider; bu nedenle çağıran tarafın n + 1 giriş için yer ayırması gerekir. aa_label_strn_parse(), vektörünü vec_setup(profile, vec, len, gfp) ile kurar ve ardından aa_vec_unique(vec, len, VEC_FLAG_TERMINATE) fonksiyonunu çağırır ancak vec_setup() sonlandırıcı girişi rezerve etmez. LOCAL_VEC_ENTRIES değerine kadar LOCAL_VEC_ENTRIES işaretçilerinden oluşan yerel diziyi kullanır, bunun üzerindeki değerlerde ise tam olarak len adet işaretçi tahsis eder. Bu nedenle sonlandırıcı, len değeri LOCAL_VEC_ENTRIES olduğunda yerel dizinin sonunun bir ötesine, len daha büyük olduğunda ise tahsis edilen alanın sonunun bir ötesine denk gelir. len değeri, etiket adındaki "//&" ile ayrılmış bileşen sayısından gelir ve label_count_strn_entries() bunu sınırlamaz. Ayrıcalıklı olmayan bir görev, /proc/self/attr/apparmor/current dosyasına yazarak veya lsm_set_self_attr(2) aracılığıyla ayrıştırmaya ulaşır; her iki yöntem de do_setattr() üzerinden geçer ve isim, change_profile izni kontrol edilmeden önce ayrıştırılır. Modu 0666 olan securityfs .access dosyasının arkasındaki query_label() yolu ise hiçbir izin kontrolü gerçekleştirmez. Her bileşenin yüklü bir profile çözümlenmesi gerektiğinden, politika yüklenmiş bir sistem gereklidir. VEC_FLAG_TERMINATE kullanan diğer iki durum, aa_label_alloc() tarafından halihazırda "vec üzerinde null sonlandırıcı girişi için + 1" şeklinde boyutlandırılmış bir etiket vec üzerinde çalışır. Aynı giriş vec_setup() ve DEFINE_VEC() içinde rezerve edilmiştir. Çağıran taraftan len + 1 gönderilmesi, len == LOCAL_VEC_ENTRIES durumunu yerel diziden çıkarıp kzalloc() içine taşırdı.