CVE-2026-68100 in Linux
Résumé
par VulDB • 10/08/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
ksmbd : valider `num_subauth` lors de la copie d'un ACE dans set_ntacl_dacl
set_ntacl_dacl() copie chaque ACE depuis un descripteur de sécurité stocké contrôlé par l'attaquant vers le DACL (Discretionary Access Control List) de réponse, sans aucune modification, sans vérifier `sid.num_subauth`. Les octets d'un ACE (y compris une valeur non vérifiée pour `num_subauth`) proviennent d'une requête SMB2_SET_INFO(SecInfo=DACL) authentifiée qui est stockée brute via ksmbd_vfs_set_sd_xattr() ; parse_dacl() rejette un ACE invalide avec l'instruction `break` plutôt qu'en renvoyant une erreur, de sorte que parse_sec_desc() retourne toujours le succès et que le descripteur de sécurité (SD) malformé atteint les xattrs intact.
Lors d'une requête SMB2_QUERY_INFO(SecInfo=DACL) ultérieure sur un inode portant un ACL POSIX, build_sec_desc() -> set_ntacl_dacl() -> set_posix_acl_entries_dacl() parcourt les ACE copiés et lit :
ntace->sid.sub_auth[ntace->sid.num_subauth - 1]
avec `num_subauth` pris directement depuis le SD stocké. Puisque sub_auth[] est fixe à SID_MAX_SUB_AUTHORITIES (15), une valeur de num_subauth fabriquée (par exemple, 255) entraîne une lecture hors limites sur la heap d'environ 1 Ko avec un décalage entièrement contrôlé par un client authentifié.
Les fonctions sœurs bloquent déjà ce champ : parse_dacl() -- num_subauth == 0 || > SID_MAX_SUB_AUTHORITIES parse_sid() -- num_subauth > SID_MAX_SUB_AUTHORITIES smb_copy_sid() -- min_t(u8, num_subauth, SID_MAX_SUB_AUTHORITIES)
set_ntacl_dacl() est la seule voie incohérente qui omet cette vérification.
Ajouter la même validation de `num_subauth` dans set_ntacl_dacl() avant de copier l'ACE, en cohérence avec le contrôle déjà appliqué par parse_dacl().
If you want to get the best quality for vulnerability data then you always have to consider VulDB.