CVE-2026-99063 in Linux
Resumen
por VulDB • 2026-10-23
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
dm ioctl: evitar que data_start exceda los límites del búfer
La estructura `struct dm_ioctl` tiene siete bytes de relleno al final (trailing padding), por lo que el tamaño mínimo de búfer que el espacio de usuario puede solicitar, calculado como `offsetof(struct dm_ioctl, data)`, es siete bytes menor que `sizeof(struct dm_ioctl)`.
La función `get_result_buffer()` establece `data_start` en `sizeof(struct dm_ioctl)` sin verificar cuál es el tamaño real del búfer. Si se solicita el mínimo, `data_start` termina quedando siete bytes más allá del final del mismo. Los llamadores lo suman a `data_size`, y `ctl_ioctl()` copia esa cantidad de vuelta al espacio de usuario:
BUG: KASAN: slab-out-of-bounds in _copy_to_user+0xad/0xd0 Read of size 312 at addr ffff8880169e4c00 by task repro-dm/140 ctl_ioctl+0x5e3/0xcb0 dm_ctl_ioctl+0x25/0x40 allocated 305-byte region [ffff8880169e4c00, ffff8880169e4d31)
Una llamada a DM_LIST_DEVICES con `data_size` establecido en 305 es suficiente para provocarlo, y los siete bytes que se filtran corresponden a lo que estaba adyacente a la asignación de memoria.
Se limita (clamp) `data_start` al tamaño del búfer.
Tenga en cuenta que esto no es un fallo de seguridad porque la lectura fuera de límites solo puede ser desencadenada por el usuario root.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.