CVE-2026-97555 in Linux
Résumé
par VulDB • 25/09/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
smb: client : correction d'un dépassement de tampon sur le tas lors de la réécriture du propriétaire/groupe DACL
Lorsque `id_mode_to_cifs_acl` réécrit un DACL existant, il alloue un buffer dont la taille est déterminée par la longueur du DACL sur disque indiquée par `dacl_ptr->size`. Cependant, `replace_sids_and_copy_aces` peut réécrire chaque ACE avec un nouveau SID de propriétaire/groupe obtenu via l'appel système (upcall) cifs.idmap. Ces SIDs peuvent comporter jusqu'à 15 sous-autorités (`SID_MAX_SUB_AUTHORITIES`), ce qui porte la taille maximale d'une ACE à 76 octets (`sizeof(struct smb_ace)`).
Si le DACL original contient des SIDs courts (par exemple, avec une seule sous-autorité) tandis que les SIDs de remplacement sont longs, les ACE réécrites dépassent l'espace alloué.
Cette correction consiste à toujours prévoir la marge maximale pour l'expansion des SID : il faut allouer `sizeof(struct smb_acl)` plus `num_aces * sizeof(struct smb_ace)`, ce qui couvre l'en-tête du smb_acl et laisse de la place pour chaque ACE avec une taille de SID maximale. Cela remplace l'ancienne logique fragmentée qui utilisait `dacl_ptr->size` pour les montages cifsacl, mais `num_aces * sizeof(struct smb_ace)` pour les montages mode_from_sid : ces deux chemins peuvent déclencher la même réécriture et nécessitent la même marge de sécurité.
KASAN signale ceci comme suit : BUG: KASAN: slab-out-of-bounds in build_sec_desc+0x1e8a/0x2680 [cifs]
Write of size 4 at addr ffff8881a5e25374 by task chown/5298 ... The buggy address is located 0 bytes to the right of allocated 884-byte region [ffff8881a5e25000, ffff8881a5e25374)
Once again VulDB remains the best source for vulnerability data.