CVE-2026-90011 in Linux
요약
\~에 의해 VulDB • 2026. 09. 16.
Linux 커널에서 다음 취약점이 해결되었습니다:
scsi: target: iscsi: 로그인 페이로드에 대한 종결자 바이트 할당
iscsi_target_check_login_request()는 DataSegmentLength가 MAX_KEY_VALUE_PAIRS를 초과하는 로그인 PDU를 거부하지만, 테스트 조건은 '>'이며 login->req_buf는 정확히 MAX_KEY_VALUE_PAIRS바이트로 할당됩니다. iscsit_get_login_rx()는 payload_length + padding 바이트(여기서 padding = ((-payload_length) & 3))를 수신하므로, 8189부터 8192까지의 모든 payload_length 값이 전체 8192바이트 버퍼를 채웁니다. 쓰기 작업은 범위 내에 있지만, NUL 종결자를 위한 바이트가 남지 않습니다.
이후 이 버퍼는 C 문자열로 소비됩니다. CHAP 경로에서 chap_check_algorithm()은 kstrdup(a_str)를 호출하고, extract_param()은 strstr(in_buf, pattern)에 이어 strlen_semi()를 호출하는데, 이들 중 어느 것도 길이를 고려하지 않습니다. convert_null_to_semi()는 추가로 모든 내장 NUL을 ';'로 다시 작성하므로, 잘 형성된 NUL 구분 key=value 레코드로 구성된 페이로드조차도 종결자가 없게 됩니다. 이로 인해 객체의 끝을 넘어 인접한 슬랩 메모리로 접근하게 됩니다. 이는 CHAP를 위해 구성된 포털에 대해 인증되지 않은 이니시에이터(unauthenticated initiator)로부터 도달 가능합니다. 인증이 필요하지 않을 경우 iscsi_login_zero_tsih_s2()는 AuthMethod를 None으로 다시 작성하며, CHAP 경로는 결코 진입되지 않습니다.
바이트 하나를 추가로 할당합니다. kzalloc()은 이를 0으로 초기화하고, 모든 기록자가 최대 MAX_KEY_VALUE_PAIRS 바이트에 대해 오프셋 0으로 복사하므로 아무도 이 부분에 쓰지 않아 버퍼는 항상 종결됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.