Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en __kick_flushing_caps() por una entrada cf liberada durante el desbloqueo list_for_each_entry() itera ci->i_cap_flush_list pero suelta i_ceph_lock para enviar mensajes de cap. Durante la ventana de desbloqueo,…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir un UAF en check_new_map() por una sesión liberada durante el desbloqueo check_new_map() itera mdsc->sessions[] y, para cada sesión activa, suelta mdsc->mutex para realizar operaciones por sesión. La ruta de cierre forzado (rango…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: rechazar rangos de export_targets >= CEPH_MAX_MDS en la decodificación del mdsmap Las entradas export_targets del MDSMap están controladas por el monitor. check_new_map() usa cada entrada como número de bit en un mapa de bits fijo en la pila, por…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del nombre de dentry copiado en get_name de la exportación NFS ceph_get_name() copia el nombre proporcionado por el MDS en el búfer de tamaño NAME_MAX del llamante con memcpy(name, rinfo->dname, rinfo->dname_len) y luego…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la decodificación de path y fs_name de MDSCapAuth en handle_session() handle_session() decodifica los registros MDSCapAuth que transporta un mensaje CEPH_SESSION_OPEN (msg_version >= 6). Para cada registro, las cadenas de bytes match.path…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el array num_export_targets para la información de mds v2/v3 ceph_mdsmap_decode() en fs/ceph/mdsmap.c lee num_export_targets de cada registro de información por mds y avanza el cursor de decodificación num_export_targets * sizeof(u32) sin…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar la longitud del valor de xattr en __build_xattrs() __build_xattrs() decodifica el blob de xattr proporcionado por el MDS un atributo a la vez. Para cada atributo lee una longitud de nombre de 32 bits, avanza más allá de los bytes del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: limitar el número de inodos delegados en ceph_parse_deleg_inos() ceph_parse_deleg_inos() decodifica conjuntos de intervalos de números de inodo delegados de una respuesta de creación con delegación del MDS. Para cada conjunto lee un inicio de 64…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: no repetir ceph_trim_dentries() si no es posible avanzar ceph_cap_reclaim_work() se vuelve a poner en cola mientras ceph_trim_dentries() devuelva -EAGAIN, lo que ocurre siempre que un recorrido de leases agota su presupuesto `nr_to_scan`. Esto…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ceph: corregir una fuga de referencia de inodo al abortar la escritura diferida en el desmontaje ceph_dirty_folio() toma una reclamación de wrbuffer sobre cada folio recién ensuciado: incrementa i_wrbuffer_ref (tomando un ihold() en la transición de…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: btrfs: soltar las referencias a las raíces de reubicación recuperadas cuando falla la recuperación Durante la recuperación de la reubicación, cada raíz fs obtiene una referencia a su raíz de reubicación. Si falla la carga o la adición de una raíz…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: audit: evitar soltar la referencia de árbol activa en la autoeliminación de reglas de fsnotify audit_del_rule() se usa tanto para las plantillas de eliminación de netlink como para la autoeliminación interna de fsnotify. La primera pasa una plantilla…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: llamar a pagecache_isize_extended() en cifs_setsize() al ampliar cifs_setsize() llama a truncate_pagecache() pero omite pagecache_isize_extended() al ampliar. truncate_setsize() muestra el patrón correcto: pagecache_isize_extended() pone a cero…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: borrar tcon tras cifsFileInfo_put() en cifs_file_set_size() Cuando la rama else de cifs_file_set_size() encuentra un identificador de archivo con permiso de escritura mediante find_writable_file(), toma prestados tcon y server del tlink del…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: corregir un desbordamiento por defecto de loff_t en cifs_remap_file_range() cuando len == 0 Con len == 0 (clonar hasta EOF), la longitud efectiva se calcula como: Si off > i_size, es un loff_t negativo, lo que corrompe el ByteCount de la…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cifs: usar cifs_invalidate_cache() en cifs_do_truncate() para O_TRUNC cifs_do_truncate() se invoca desde cifs_open() sin i_rwsem, por lo que no puede usar cifs_resize_file_locked() para realizar un redimensionamiento adecuado de la cookie de fscache.…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: borrar el bit setuid/setgid al escribir con cifsacl/modefromsid/extensiones posix Cuando un archivo tiene establecido el bit setuid o setgid y se escribe en él, el VFS elimina esos bits y emite un setattr con ATTR_KILL_SUID/ATTR_KILL_SGID…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un UAF y una fuga de búfer en cifs_check_trans2() con T2 secundarios mal formados Cuando se ha recibido una respuesta TRANSACT2 primaria válida (mid->resp_buf establecido, mid->multiRsp true) y una respuesta secundaria posterior…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: borrar ce->tgthint en free_tgts() Cuando free_tgts() libera todas las estructuras de ce->tlist, ce->tgthint queda apuntando a una de las estructuras cache_dfs_tgt liberadas. Si ce->tgthint no se restablece antes de usarse más tarde, se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ksmbd: volver a vincular solo el propio oplock del archivo reabierto en la reconexión duradera ksmbd_reopen_durable_fd() recorre la m_op_list del inodo y vuelve a vincular cada oplock desvinculado a la sesión que se reconecta: La única clave es…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir un desbordamiento de ALIGN() en el bucle de contexto de error de symlink_data() La comprobación añadida por el commit 7d9a7f1f96cd ("smb/client: fix possible infinite loop and oob read in symlink_data()") comparaba la longitud…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir una lectura/escritura fuera de límites por un DataOffset no validado en coalesce_t2() coalesce_t2() calcula punteros de datos directamente a partir de los campos DataOffset proporcionados por el servidor, sin validarlos frente a…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: corregir el uso antes de la comprobación de ReparseDataLength en reparse_buf_ptr() reparse_buf_ptr() lee buf->ReparseDataLength antes de comprobar que count cubre toda la cabecera fija: struct reparse_data_buffer tiene ReparseDataLength en…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: rechazar una respuesta de tree connect cuyo número de bytes sea demasiado pequeño CIFSTCon() limita su strnlen() sobre el área de bytes con el ByteCount del servidor menos dos, lo que para ByteCount 0 o 1 se vuelve negativo como int y se…

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: client: restaurar el límite de data_offset en is_valid_oplock_break() El commit 83bfbd0bb902 ("cifs: Remove the RFC1002 header from smb_hdr") cambió la cantidad con la que se mide este límite. Antes era srv->total_read menos el preámbulo RFC1002…