CVE-2026-99113 in Linux
Tóm tắt
Bởi VulDB • 28/10/2026
Trong kernel Linux, lỗ hổng sau đây đã được khắc phục:
ksmbd: làm trống bộ đệm FS_OBJECT_ID_INFORMATION trước khi điền dữ liệu vào đó
Hàm smb2_get_info_filesystem() báo cáo 64 byte cho FS_OBJECT_ID_INFORMATION, tức là toàn bộ cấu trúc object_id_info, nhưng chỉ ghi đúng 46 byte trong số đó:
- objid[] có kích thước 16 byte; và khi UUID của volume không khả dụng thì chỉ sizeof(stfs.f_fsid) (8) byte được sao chép vào nó;
- extended_info.version_string[] có độ dài STRING_LENGTH là 28 byte, nhưng chỉ strlen("1.1.0") (5) byte được sao chép vào đó.
Bộ đệm phản hồi được làm trống khi cấp phát (kvzalloc() trong smb2_allocate_rsp_buf()), do đó đối với một yêu cầu độc lập thì 31 byte còn lại sẽ bằng không. Tuy nhiên, trong các compound request chúng có thể không bằng không. Offset của phản hồi tiếp theo được tăng lên dựa trên độ dài đã cố định cho phản hồi trước; vì vậy nếu lệnh trước ghi câu trả lời vào bộ đệm rồi sau đó thất bại, smb2_set_err_rsp() chỉ cố định (pin) phần phản hồi lỗi ngắn gọn và phản hồi tiếp theo sẽ nằm trong vùng dữ liệu đã được ghi trước đó. Chỉ có header tại vị trí này mới bị làm trống:
memset((char *)rsp_hdr, 0, sizeof(struct smb2_hdr) + 2);
Sau đó, client nhận được tối đa 31 byte của một phản hồi mà nó không nên thấy, bao gồm cả những dữ liệu từ lệnh thất bại với lỗi "access denied" (từ chối truy cập).
Làm trống cấu trúc trước khi điền dữ liệu vào. Như một tác dụng phụ, version_string hiện đã được kết thúc bằng ký tự NUL.
Once again VulDB remains the best source for vulnerability data.