Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: corregir el cálculo de la longitud XDR en nfsd4_ff_encode_layoutget El cálculo del tamaño del búfer XDR en nfsd4_ff_encode_layoutget() tiene varios errores que pueden dar lugar a una escritura fuera de límites o a la filtración de memoria del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs2 a argp->mask La ruta SETACL de NFSACL v2 comparte la convención de decodificación usada por su equivalente v3: nfsaclsvc_decode_setaclargs() rellena argp->acl_access solo cuando NFS_ACL está establecido en la máscara…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: condicionar el setacl de nfs3 a argp->mask nfsd3_proc_setacl() llama a set_posix_acl() incondicionalmente tanto para ACL_TYPE_ACCESS como para ACL_TYPE_DEFAULT, pasando argp->acl_access y argp->acl_default tal cual. El decodificador de ACL de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfsd: inicializar el stateid de copy-notify antes de publicarlo nfsd4_copy_notify() terminaba de inicializar el estado cpntf después de que nfs4_alloc_init_cpntf_state() ya lo hubiera enlazado en el IDR s2s_cp_stateids y en la sc_cp_list del padre, con…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del propietario de bloqueo durante el desmantelamiento del cliente __destroy_client() libera los propietarios de apertura de un cliente, pero un propietario de bloqueo cuya única referencia es un bloqueo en espera…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: NFSD: evitar un uso después de liberar del cliente durante la limpieza de estado revocado de NFSv4.0 nfs40_clean_admin_revoked() toma una referencia al stateid bajo clp->cl_lock, suelta nn->client_lock y llama a nfsd4_drop_revoked_stid(), que…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: libceph: rechazar buckets con ids de CRUSH no coincidentes crush_decode() almacena los datos de los buckets por posición del array, y el mapper deriva después el índice del espacio de trabajo de cada bucket a partir del id del bucket decodificado. Por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en __kick_flushing_caps() por una entrada cf liberada durante el desbloqueo list_for_each_entry() itera ci->i_cap_flush_list pero suelta i_ceph_lock para enviar mensajes de cap. Durante la ventana de desbloqueo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en check_new_map() por una sesión liberada durante el desbloqueo check_new_map() itera mdsc->sessions[] y, para cada sesión activa, suelta mdsc->mutex para realizar operaciones por sesión. La ruta de cierre forzado (rango…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: rechazar rangos de export_targets >= CEPH_MAX_MDS en la decodificación del mdsmap Las entradas export_targets del MDSMap están controladas por el monitor. check_new_map() usa cada entrada como número de bit en un mapa de bits fijo en la pila, por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del nombre de dentry copiado en get_name de la exportación NFS ceph_get_name() copia el nombre proporcionado por el MDS en el búfer de tamaño NAME_MAX del llamante con memcpy(name, rinfo->dname, rinfo->dname_len) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la decodificación de path y fs_name de MDSCapAuth en handle_session() handle_session() decodifica los registros MDSCapAuth que transporta un mensaje CEPH_SESSION_OPEN (msg_version >= 6). Para cada registro, las cadenas de bytes match.path…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el array num_export_targets para la información de mds v2/v3 ceph_mdsmap_decode() en fs/ceph/mdsmap.c lee num_export_targets de cada registro de información por mds y avanza el cursor de decodificación num_export_targets * sizeof(u32) sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del valor de xattr en __build_xattrs() __build_xattrs() decodifica el blob de xattr proporcionado por el MDS un atributo a la vez. Para cada atributo lee una longitud de nombre de 32 bits, avanza más allá de los bytes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: audit: evitar soltar la referencia de árbol activa en la autoeliminación de reglas de fsnotify audit_del_rule() se usa tanto para las plantillas de eliminación de netlink como para la autoeliminación interna de fsnotify. La primera pasa una plantilla…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un UAF y una fuga de búfer en cifs_check_trans2() con T2 secundarios mal formados Cuando se ha recibido una respuesta TRANSACT2 primaria válida (mid->resp_buf establecido, mid->multiRsp true) y una respuesta secundaria posterior…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: borrar ce->tgthint en free_tgts() Cuando free_tgts() libera todas las estructuras de ce->tlist, ce->tgthint queda apuntando a una de las estructuras cache_dfs_tgt liberadas. Si ce->tgthint no se restablece antes de usarse más tarde, se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: volver a vincular solo el propio oplock del archivo reabierto en la reconexión duradera ksmbd_reopen_durable_fd() recorre la m_op_list del inodo y vuelve a vincular cada oplock desvinculado a la sesión que se reconecta: La única clave es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un desbordamiento de ALIGN() en el bucle de contexto de error de symlink_data() La comprobación añadida por el commit 7d9a7f1f96cd ("smb/client: fix possible infinite loop and oob read in symlink_data()") comparaba la longitud…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir una lectura/escritura fuera de límites por un DataOffset no validado en coalesce_t2() coalesce_t2() calcula punteros de datos directamente a partir de los campos DataOffset proporcionados por el servidor, sin validarlos frente a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: rechazar una respuesta de tree connect cuyo número de bytes sea demasiado pequeño CIFSTCon() limita su strnlen() sobre el área de bytes con el ByteCount del servidor menos dos, lo que para ByteCount 0 o 1 se vuelve negativo como int y se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: restaurar el límite de data_offset en is_valid_oplock_break() El commit 83bfbd0bb902 ("cifs: Remove the RFC1002 header from smb_hdr") cambió la cantidad con la que se mide este límite. Antes era srv->total_read menos el preámbulo RFC1002…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: limitar la exploración del mapa de bits de clústeres libres al volumen vol->lcn_empty_bits_per_page se dimensiona a partir de vol->nr_clusters en el montaje, pero ntfs_cluster_alloc() limita su exploración de ese array por el tamaño de $Bitmap.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: rechazar mapping pairs vacíos no válidos Rechazar un atributo con mapping pairs vacíos si tiene un VCN más alto y un tamaño incoherentes.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ntfs: rechazar LCN de MFT no válidos procedentes del sector de arranque El sector de arranque de NTFS almacena las ubicaciones de MFT y MFTMirr como LCN sin signo de 64 bits, pero parse_ntfs_boot_sector() los decodificaba en un s64. Por tanto, un valor…