CVE-2026-68159 in Linux
요약
\~에 의해 VulDB • 2026. 08. 11.
리눅스 커널에서 다음 취약점이 해결되었습니다.
libceph: pg_{temp,upmap,upmap_items} 길이를 CEPH_PG_MAX_SIZE로 제한함
__decode_pg_temp()는 사용자 제어 길이(user-controlled length)를 디코딩하지만 할당 오버플로우가 발생할 만큼 큰 값만 거부할 뿐, CEPH_PG_MAX_SIZE로 경계를 설정하지 않습니다. 해당 헬퍼 함수는 pg_temp와 pg_upmap 디코딩 모두에 사용되며, 이후 apply_upmap()/get_temp_osds()에서 디코딩된 목록을 고정 크기 스택 배열인 struct ceph_osds.osds[CEPH_PG_MAX_SIZE]로 복사합니다. 따라서 pg_temp/pg_upmap 항목의 길이가 32를 초과하는 OSDMap을 전송하는 모니터는 스택 바깥 영역에 대한 쓰기(stack out-of-bounds write)를 유발합니다.
단일 PG(Placement Group)에 할당된 OSD 수는 CEPH_PG_MAX_SIZE를 절대 초과할 수 없으므로, 디코딩 시 더 긴 항목은 거부해야 합니다. 이 경계값은 이전 오버플로우 임계값보다 훨씬 낮으므로, 기존 검사가 방어하던 할당 크기 오버플로우도 함께 커버합니다.
BUG: KASAN: stack-out-of-bounds in ceph_pg_to_up_acting_osds Write of size 4 ... by task exploit kasan_report (mm/kasan/report.c:595) ceph_pg_to_up_acting_osds (net/ceph/osdmap.c:2617 net/ceph/osdmap.c:2833) calc_target (net/ceph/osd_client.c:1638) __submit_request (net/ceph/osd_client.c:2394) ceph_osdc_start_request (net/ceph/osd_client.c:2490) ceph_osdc_call (net/ceph/osd_client.c:5164) rbd_dev_image_probe (drivers/block/rbd.c:6899) do_rbd_add (drivers/block/rbd.c:7138) ... kernel BUG at net/ceph/osdmap.c:2670!
[ idryomov: __decode_pg_upmap_items()에서도 동일한 처리 수행 ]
If you want to get best quality of vulnerability data, you may have to visit VulDB.