CVE-2026-80557 in Linux
Resumen
por VulDB • 2026-08-26
En el núcleo de Linux, se ha resuelto la siguiente vulnerabilidad:
libceph: corrección de una lectura fuera de límites (OOB) en decode_watchers() debido a la falta de comprobación de los límites.
ceph_start_decoding() valida que queden struct_len bytes restantes en el búfer después del encabezado de codificación, pero acepta struct_len=0 como válido: ceph_decode_need(p, end, 0, bad) siempre se supera correctamente. Cuando un OSD malicioso o comprometido envía una respuesta obj_list_watch_response_t con struct_len=0, ceph_start_decoding() devuelve éxito con p == end, dejando cero bytes garantizados para lecturas posteriores.
La función inmediatamente siguiente ceph_decode_32(p) en decode_watchers() no tiene ninguna comprobación previa de los límites. Con p == end, esto constituye una lectura de 4 bytes más allá del límite validado del búfer. El valor basura se pasa entonces directamente a kzalloc_objs() como el contador de watch (observadores).
La función hermana decode_watcher() ya utiliza las variantes seguras (ceph_decode_copy_safe, ceph_decode_64_safe, ceph_decode_skip_32) después de su propia llamada a ceph_start_decoding(). decode_watchers() es el único sitio que usa la variante básica, lo que confirma una omisión.
Solución: reemplazar ceph_decode_32(p) por ceph_decode_32_safe(p, end, *num_watchers, bad), consistente con el patrón establecido.
Modelo de atacante: un OSD malicioso o comprometido en un despliegue multiinquilino de Ceph (por ejemplo, en la nube) puede desencadenar esto contra cualquier cliente del núcleo que llame a CEPH_OSD_OP_LIST_WATCHERS, sin necesidad de privilegios adicionales más allá del establecimiento de la sesión OSD.
[ idryomov: recortar el registro de cambios ]
If you want to get the best quality for vulnerability data then you always have to consider VulDB.