Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - libceph:decode_lockers() の 2 つの安全でないベアデコードを修正します decode_lockers() の cls_lock_client.c には、悪意のある、または危険にさらされている OSD が slab-out-of-bounds 読み取りを発生させる可能性がある 2 つのベアデコード操作が含まれています:
    1. num_lockers フィールドの ceph_decode_32(p) には、先行境界チェックがありません。ceph_start_decoding() は struct_len=0 を有効として受け入れます -- 内部ceph_decode_need(p, end, 0, bad)は常に渡されます -- このため、OSD が struct_len=0 を送信すると、ceph_start_decoding() は p == end で成功を返します。その後、直後のベアceph_decode_32(p)が検証されたバッファ境界を4バイト超えて読み取ります。ガベージ値は、ロッカーカウントとして kzalloc_objs() に直接渡されます。osd_client.c の兄弟関数 decode_watchers() は、独自の ceph_start_decoding() 呼び出しの後にすでに ceph_decode_32_safe() を使用しています。decode_lockers() は、ベアバリアントを使用する唯一のサイトでした。2. decode_locker() ループの後の ceph_decode_8(p) には、先行する境界チェックがありません。ループがp正確に終了するようにOSDがnum_lockers細工した場合、後続のベアceph_decode_8(p)は検証されたバッファ境界を1バイト超えて読み取ります。結果は直接
    *type は、呼び出し元によりロックタイプ識別子として使用され、OSD 制御の 1 バイトの OOB 読み取りを行い、ロックタイプフィールドに直接影響を与えます。ベアオペレーションを安全なバリアントに置き換えることで両方を修正: ceph_decode_32(p) -> ceph_decode_32_safe(p, end, *num_lockers, err_inval) ceph_decode_8(p) -> ceph_decode_8_safe(p, end, *type, err_free_lockers) goto ターゲットは意図的に異なります:err_inval: は、-EINVAL を直接返す新しいラベルです。これは、*lockers がまだ割り当てられておらず、ceph_free_lockers() に渡してはならない事前割り当て失敗パスで使用されます。err_free_lockers: は既存のラベルです。これは、*lockers が割り当てられ、解放する必要がある割り振り後の障害パスに使用されます。ret が
    -EINVAL を ceph_decode_8_safe() の前に渡すことで、err_free_lockers が境界違反時に適切なエラーコードを返すようにします。これがなければ、err_free_lockers古い ret 値(成功した decode_locker() ループからの 0)を返し、エラーを静かに飲み込みます。-EINVAL は両方の失敗パスで正しいです。OSD から受信したデータは構造的に無効な形式です。-ENOMEM は、障害クラスを呼び出し側およびエラーパスのトリアージstable@バックポーターに誤って伝える可能性があります。攻撃者モデル:マルチテナントCeph展開の悪意のある、または侵害されたOSDが、lock.get_infoクラスメソッドを発行するカーネルクライアントに対してこれをトリガーする可能性があります(例:RBD排他的ロックの取得中)。[ idriomov:変更ログをトリム、フォーマット](CVE-2026-68082)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-68082

critical Nessus プラグイン ID 333534

バージョン 1.5