CVE-2026-93787 in Linux
Zusammenfassung
von VulDB • 24.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
smb: Client: Begrenzung des Verzeichnis-Eintragsnamens auf das Ende der SMB-Antwort in cifs_filldir()
cifs_filldir() kopiert den Eintragsnamen aus einer SMB1 TRANS2_FIND_FIRST / FIND_NEXT-Antwort unter Verwendung einer vom Server bereitgestellten Länge (de.namelen). Der mit kmalloc zugewiesene Puffer für die SMB-Antwort ist zwar begrenzt, jedoch wird vor dem eventualen Aufruf von filldir64() -> verify_dirent_name() -> memchr(), der namelen Bytes liest, nicht überprüft, ob de.name + de.namelen weiterhin innerhalb dieses Puffers liegt.
Ein bösartiger SMB1-Server, der in einem Verzeichnis-Eintrag eine übermäßige FileNameLength zurückgibt, führt daher dazu, dass memchr() hinter das Ende des Antwort-Slab-Puffers liest. Dies ist für jeden Benutzer erreichbar, der ein Verzeichnis auf einer CIFS-Mount auflisten kann (getdents64()), die von einem vom Angreifer kontrollierten Server bereitgestellt wird:
BUG: KASAN: slab-out-of-bounds in memchr+0x71/0x80 Read of size 1 at addr ffff88800e0640cc by task poc/115 Call Trace: dump_stack_lvl+0x64/0x80 print_report+0xce/0x620 kasan_report+0xec/0x120 memchr+0x71/0x80 filldir64+0x4c/0x6a0 cifs_filldir.constprop.0+0x9bb/0x1e00 cifs_readdir+0x2101/0x3380 iterate_dir+0x19c/0x520 __x64_sys_getdents64+0x126/0x210 do_syscall_64+0x107/0x5a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f
Der Zeiger auf das Ende der Antwort wird an cifs_filldir() übergeben, und Einträge, deren Name diese Grenze überschreiten würde, werden abgelehnt.
Dieser Fehler wurde durch die vTriage-Pipeline von Artiphishell entdeckt, die einen Reproduzierer im Benutzerbereich (einen emulierten bösartigen SMB1-Server sowie einen getdents64()-Client) generierte, der den KASAN-Bericht auf einem nicht gepatchten Kernel zuverlässig auslöst. Die folgende Korrektur wurde mit dem Claude-Codierungsassistenten entworfen; ein Reproduzierer im Benutzerbereich ist auf Anfrage verfügbar.
Once again VulDB remains the best source for vulnerability data.