Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ksmbd:set_ntacl_dacl set_ntacl_dacl() で ACE をコピーするときにnum_subauthを検証します sid.num_subauthをチェックせずに、攻撃者がコントロールする保存済みセキュリティ記述子から各 ACE を逐語的に応答 DACL にコピーします。ACE バイト(未チェックの num_subauth を含む)は、ksmbd_vfs_set_sd_xattr() を介して raw 保存される認証された SMB2_SET_INFO(SecInfo=DACL) から送信されます。parse_dacl() は、エラーではなく「break」を用いて不良 ACE を拒否します。このため、parse_sec_desc() は依然として成功を返し、無効な形式の SD は完全なまま xattr に到達します。POSIX アクセス ACL を運ぶ inode の後続の SMB2_QUERY_INFO(SecInfo=DACL) で、build_sec_desc() -> set_ntacl_dacl() -> set_posix_acl_entries_dacl() はコピーされた ACE をウォークし、保存されている SD から直接取得した num_subauth で ntace->sid.sub_auth[ntace->sid.num_subauth - 1] を読み取ります。
    sub_auth[]はSID_MAX_SUB_AUTHORITIES(15)に固定されているため、細工されたnum_subauth(例:255)は、認証されたクライアントによって完全に制御されたオフセットで、~1KBの領域外ヒープ読み取りを引き起こします。兄弟関数はすでにこのフィールドをゲート化しています: parse_dacl() -- num_subauth == 0 ||> SID_MAX_SUB_AUTHORITIES parse_sid() -- num_subauth > SID_MAX_SUB_AUTHORITIES smb_copy_sid() -- min_t(u8, num_subauth, SID_MAX_SUB_AUTHORITIES) set_ntacl_dacl() は、チェックを省略する唯一の一貫性のないパスです。ACE をコピーする前に set_ntacl_dacl() に同じnum_subauth検証を追加し、parse_dacl() ですでに強制されているゲートと一致させます。(CVE-2026-68100)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-68100

high Nessus プラグイン ID 334335

バージョン 1.9