Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ksmbd:smb_inherit_dacl() の num_aces を検証し、ACE ウォークを強化します smb_inherit_dacl() は、親ディレクトリの DACL xattr からのディスク上の num_aces 値を信頼し、これを使用してヒープ割り当てをサイジングします: aces_base = kmalloc(sizeof(struct smb_ace) * num_aces * 2, ...);num_acesは、宣言されたpdacl_sizeと整合性をチェックせずに、le16_to_cpu(parent_pdacl->num_aces)からのu16読み取りです。
    親ディレクトリのセキュリティを持つ認証されたクライアント。NTACL が改ざんされる場合 (オフラインの xattr 破損または parse_dacl() をバイパスする同時パスなど)、最小の実際の ACE データで num_aces = 65535 を提示する可能性があります。これにより ~8 MB の割り当てが発生し(kzalloc ではなく、初期化されていない)、後続のループが部分的にのみ入力され、32 ビットカーネルの 3 方向size_t乗算をオーバーフローする可能性があります。
    さらに、ACE ウォークループは、有効な最小オンワイヤ ACE サイズではなく、より弱い offsetof(struct smb_ace, access_req) 最小サイズチェックを使用し、宣言されたサイズが最小値を下回る ACE を拒否しません。UML + KASAN + LOCKDEP で、実際の ksmbd コードパスに対して再生成。正当な mount.cifs クライアントが、SMB に親ディレクトリを作成します(ksmbd は有効なセキュリティを書き込みます。NTACL xattr) の場合、バッキングファイルシステムの NTACL blob は、posix_acl_hash バイトをそのままにして num_aces = 0xFFFF を設定するように書き換えられます。ksmbd_vfs_get_sd_xattr() のハッシュチェックは引き続き合格します。その親の下の子の後続の SMB2 CREATE により、smb2_open() が smb_inherit_dacl() にドライブされます(共有に vfs objects = acl_xattr が設定されている場合)、ページアロケーターに失敗します: 警告:mm/page_alloc.c:5226 at __alloc_frozen_pages_noprof+0x46c/0x9c0 ワークキュー:ksmbd-io handle_ksmbd_work __alloc_frozen_pages_noprof+0x46c/0x9c0
    ___kmalloc_large_node+0x68/0x130 __kmalloc_large_node_noprof+0x24/0x70 __kmalloc_noprof+0x4c9/0x690 smb_inherit_dacl+0x394/0x2430 smb2_open+0x595d/0xabe0 handle_ksmbd_work+0x3d3/0x1140 このパッチが適用されると、追加されたガードは、大きな割り当てが実行される前に -EINVAL で改ざんされた値を拒否し、smb2_open() は smb2_create_sd_buffer() にフォールバックします)。 子がデフォルトの SD で作成されます。警告もスプラットもありません。修正方法:1. parse_dacl() で適用されたのと同じ式を使用して、pdacl_sizeに対してnum_acesを検証します。2. オーバーフローセーフな割り当てのために、生の kmalloc(sizeof * num_aces * 2) を kmalloc_array(num_aces * 2, sizeof(...)) に置き換えます。3. ACE ごとのループ ガードを締めて、有効な最小 ACE サイズ (offsetof(smb_ace, sid) + CIFS_SID_BASE_SIZE) を要求し、サイズの小さい ACE を拒否し、smb_check_perm_dacl() と parse_dacl() の強化を一致させます。v1 -> v2: - 変更ログの合成テストモジュールのスプラットを、mount.cifs と SMB2 CREATE により駆動される実パスの UML + KASAN 複製で置き換えます。
    Namjae は、v1 のkcifs3_test_inherit_dacl_old名が ksmbd に存在しないため、この名前にフラグを立てました。- Namjae 氏のレビューにより、コードコメントからコミットハッシュ引用をドロップします。parse_dacl() ポインターを維持します。
    (CVE-2026-31706)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31706

high Nessus プラグイン ID 311699

バージョン 1.20