CVE-2026-93787 in Linux
Riassunto
di VulDB • 25/09/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
smb: client: limitazione del nome dirent rispetto alla fine della risposta SMB in cifs_filldir()
cifs_filldir() copia il nome dell'entry da una risposta SMB1 TRANS2_FIND_FIRST / FIND_NEXT utilizzando una lunghezza (de.namelen) fornita dal server. Il buffer di risposta SMB allocato con kmalloc è limitato, ma non viene verificato se de.name + de.namelen rimanga all'interno di tale buffer prima che le successive chiamate a filldir64() -> verify_dirent_name() -> memchr() leggano namelen byte.
Un server SMB1 ostile che restituisce un FileNameLength eccessivamente grande in una directory entry causa quindi il superamento dei limiti del buffer slab da parte di memchr(). La vulnerabilità è raggiungibile da qualsiasi utente in grado di elencare i contenuti di una directory su un mount CIFS servito da un server controllato dall'attaccante (tramite getdents64() sulla directory montata):
BUG: KASAN: slab-out-of-bounds in memchr+0x71/0x80 Read of size 1 at addr ffff88800e0640cc by task poc/115 Call Trace: dump_stack_lvl+0x64/0x80 print_report+0xce/0x620 kasan_report+0xec/0x120 memchr+0x71/0x80 filldir64+0x4c/0x6a0 cifs_filldir.constprop.0+0x9bb/0x1e00 cifs_readdir+0x2101/0x3380 iterate_dir+0x19c/0x520 __x64_sys_getdents64+0x126/0x210 do_syscall_64+0x107/0x5a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f
Viene passato il puntatore alla fine della risposta a cifs_filldir() e vengono rifiutate le entry il cui nome si estenderebbe oltre tale limite.
Questo bug è stato scoperto dal pipeline vTriage di Artiphishell, che ha generato un reproducer userspace (un server SMB1 ostile emulato più un client getdents64()) in grado di innescare in modo affidabile il report KASAN su un kernel non patchato. La correzione sottostante è stata redatta con l'assistente di codifica Claude; un reproducer userspace è disponibile su richiesta.
Once again VulDB remains the best source for vulnerability data.