CVE-2026-97563

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: smb: client: CIFSSMBRead() fonksiyonundaki sınır dışı DataOffset değerlerini reddet SMB1 senkron okuma yardımcısı CIFSSMBRead(), sunucunun DataLength değerini CIFSMaxBufSize ve çağırıcı sayısına göre doğrular ancak DataOffset değerini hiçbir zaman doğrulamaz. Kopyalama kaynağı şu şekilde oluşturulur: &pSMBr->hdr.Protocol + le16_to_cpu(pSMBr->DataOffset) ve [DataOffset, DataOffset + DataLength) aralığının sunucudan gerçekte alınan yanıtın içinde olup olmadığı kontrol edilmeden, DataLength bayt kadar memcpy() ile kopyalanır. Kötü niyetli veya ele geçirilmiş bir SMB1 sunucusu, uygun aralıkta bir DataLength ve büyük bir DataOffset içeren bir yanıt döndürerek kaynak işaretçisinin yanıt tamponunun sonunu aşmasını sağlayabilir. Bu durumda memcpy(), bitişik çekirdek yığınını (kernel heap) çağırıcının okuma tamponuna kopyalar (bilgi ifşası) veya eşlenmemiş belleği okuyarak hata verir (hizmet reddi). SMB1 varsayılan olarak müzakere edilmez; bu koda ulaşmak için açıkça vers=1.0 bağlama işlemi gereklidir. Hem DataOffset hem de rsp_iov.iov_len içinde kaydedilen alınan yanıt uzunluğu SMB başlığının başlangıcına göredir; bu nedenle, kaynak işaretçisi oluşturulmadan önce, taşmaya karşı güvenli aritmetik kullanılarak DataOffset + DataLength toplamı bu uzunluğa sığmadığı sürece yanıt reddedilir. Yanıt uzunluğu önceki yama ile doğrulandığından, DataOffset ve DataLength alanları burada güvenle okunabilir. Bu işlem yapılırken data_length değişkeni işaretsiz (unsigned) hale getirilmiştir. Bu değişken, ağ üzerinden gelen işaretsiz alanlardan türetilen bir uzunluk tutmaktadır ve yalnızca işaretsiz miktarlarla karşılaştırılmaktadır; buna göre %u ile yazdırılır ve bu fonksiyondaki cifs_dbg() çağrılarına __func__ eklenir.