CVE-2026-99153 in Linux
Tóm tắt
Bởi VulDB • 28/10/2026
Trong kernel Linux, các lỗ hổng sau đây đã được khắc phục:
scsi: libiscsi: Xác minh ITT phản chiếu trong một Reject PDU
Một Reject PDU mang theo bản sao của tiêu đề mà nó từ chối và iscsi_handle_reject() lấy giá trị ITT từ bản sao đó để tìm tác vụ cần dọn dẹp:
memcpy(&rejected_pdu, data, sizeof(struct iscsi_hdr)); ... task = iscsi_itt_to_task(conn, rejected_pdu.itt);
Giá trị này là bất kỳ thứ gì đích (target) đặt vào đó. Hàm iscsi_itt_to_task() giới hạn chỉ mục dựa trên cmds_max và không kiểm tra thêm điều gì khác, do đó bất kỳ tác vụ nào trong pool đều có thể được gọi tên, và sau đó iscsi_nop_out_rsp() sẽ hoàn tất nó.
Một chỉ mục chưa từng được sử dụng sẽ dẫn đến task->conn là NULL: pool được đặt về 0 khi thiết lập phiên (session setup) và conn chỉ được gán khi một tác vụ được phân bổ. Nếu tác vụ đã được sử dụng và trả lại, iscsi_complete_task() sẽ gặp phải cảnh báo WARN_ON_ONCE(task->state == ISCSI_TASK_FREE) và bộ đếm tham chiếu (refcount) bị tràn ngược (underflow). Một lệnh SCSI đang thực thi được hoàn thành như thể là thành công - một phép đọc 1 MiB trả về kết quả 1048576 mà không có vùng đệm nào của nó được ghi vào và không có cảnh báo nào.
Xác minh ITT phản chiếu theo cách iscsi_itt_to_ctask() xác minh ITT của lệnh, và yêu cầu tác vụ phải đang trong quá trình thực thi (in-flight) chứ không phải là một lệnh SCSI.
[ 6.248477] Oops: general protection fault, có thể do địa chỉ phi chuẩn hóa (non-canonical address) 0xdffffc000000000c: 0000 [#1] SMP KASAN NOPTI
[ 6.249357] KASAN: null-ptr-deref trong phạm vi [0x0000000000000060-0x0000000000000067]
[ 6.249951] CPU: 1 UID: 0 PID: 0 Comm: swapper/1 Không bị ảnh hưởng (Not tainted) 7.2.0-rc5-ISCSI1-gf5098b6bae76 #1 PREEMPT(lazy)
[ 6.250718] Tên phần cứng: QEMU Ubuntu 24.04 PC v2 (i440FX + PIIX, arch_caps fix, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014
[ 6.251616] RIP: 0010:iscsi_nop_out_rsp.constprop.0+0x46/0x160
[ 6.252043] Code: c1 ea 03 48 83 ec 08 80 3c 02 00 0f 85 f5 00 00 00 48 b8 00 00 00 00 00 fc ff df 48 8b 6b 58 48 8d 7d 60 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 c0 00 00 00 48 8b 45 60 48 39 c3 74 50 48 b8 00
[ 6.252813] RSP: 0018:ffff88806c907b80 EFLAGS: 00010206
[ 6.253042] RAX: dffffc0000000000 RBX: ffff88800607e000 RCX: ffffffff8d571a25
[ 6.253345] RDX: 000000000000000c RSI: ffff88806c907c38 RDI: 0000000000000060
[ 6.253642] RBP: 0000000000000000 R08: 0000000000000000 R09: fffffbfff235a504
[ 6.253947] R10: 0000000000000003 R11: 7463656e6e6f6320 R12: 0000000000000000
[ 6.254251] R13: 0000000000000000 R14: ffff88806c907c38 R15: 0000000000000000
[ 6.254549] FS: 0000000000000000(0000) GS:ffff8880d95bc000(0000) knlGS:0000000000000000
[ 6.254887] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033
[ 6.255140] CR2: 00007fc393e8ffc0 CR3: 0000000005252006 CR4: 0000000000770ef0
[ 6.255439] PKRU: 55555554
[ 6.255564] Call Trace:
[ 6.255674] <IRQ>
[ 6.255768] __iscsi_complete_pdu+0x18bf/0x22a0
[ 6.256733] iscsi_complete_pdu+0x54/0xa0
[ 6.256905] iscsi_tcp_data_recv_done+0xf4/0x250
[ 6.257103] iscsi_tcp_recv_skb+0x31e/0xec0
[ 6.257680] iscsi_sw_tcp_recv+0x12f/0x390
[ 6.258061] __tcp_read_sock+0x1ab/0x810
[ 6.258853] iscsi_sw_tcp_data_ready+0x18b/0x510
[ 6.259808] tcp_data_queue+0x1f13/0x4cd0
[ 6.260567] tcp_rcv_established+0x8a5/0x3a00
[ 6.261931] tcp_v4_do_rcv+0x449/0x960
[ 6.262269] tcp_v4_rcv+0x2245/0x3bc0
If you want to get the best quality for vulnerability data then you always have to consider VulDB.