CVE-2023-38432

W jądrze Linux w module ksmbd występuje podatność use-after-free w funkcji smb2_tree_connect(). Nowo utworzone połączenie drzewa jest publikowane w sesji, a następnie używane przez procedurę obsługi, podczas gdy równoczesne wylogowanie sesji może zwolnić ten obiekt, zanim obsługa się zakończy.

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W jądrze Linux naprawiono błąd use-after-free w mechanizmie powiadomień o przerwaniu oplocku w module ksmbd. Funkcja smb2_oplock_break_noti() odczytywała wskaźnik opinfo->conn bez blokady i używała go po operacjach alokacji, które mogą usypiać, co pozwalało na wyścig z procesem rozłączania trwałego uchwytu (durable handle) i dostęp do zwolnionego połączenia. Podatność może być wykorzystana przez każdego uwierzytelnionego klienta posiadającego trwały batch oplock.

W jądrze systemu Linux zidentyfikowano podatność w ksmbd, która polega na błędzie use-after-free związanym z natychmiastowym zwalnianiem pamięci struktury oplock_info. Problem ten występuje, gdy wskaźnik jest unieważniany bez opóźnienia w okresie łaski RCU, co pozwala na dostęp do już zwolnionej pamięci.

W module ksmbd jądra Linux występuje podatność use-after-free związana z obiektem share_conf w żądaniach złożonych (compound). Funkcja smb2_get_ksmbd_tcon() ponownie używa work->tcon bez sprawdzenia tcon->t_state, przez co po wcześniejszym SMB2_TREE_DISCONNECT (które zwalnia share_conf) kolejne polecenia odwołują się do zwolnionej pamięci.

W jądrze Linux w module ksmbd wykryto podatność prowadzącą do odczytu poza granicami pamięci (slab-out-of-bounds) w funkcji init_smb2_rsp_hdr. Problem występuje, gdy próba montowania SMB1 kończy się niepowodzeniem, a serwer ksmbd błędnie obsługuje negocjację SMB1 jako operację SMB2, co powoduje nieprawidłowy odczyt pamięci.

W jądrze Linux przed wersją 6.3.8 odkryto problem związany z brakiem walidacji długości nagłówka NetBIOS w stosunku do rozmiarów nagłówków SMB w ksmbd. To prowadzi do odczytu poza przydzielonym zakresem pamięci.

W jądrze Linux przed wersją 6.3.8 odkryto problem związany z podziałem całkowitym i odczytem poza zakresem w funkcji deassemble_neg_contexts w pliku fs/smb/server/smb2pdu.c w ksmbd.

W jądrze Linux w module ksmbd (serwer SMB) występuje błąd w obsłudze wygasania sesji SMB2. Funkcja ksmbd_session_register() niszczyła prawidłowe sesje po dziesięciu sekundach bezczynności, gdy klient rozpoczynał kolejną wymianę SessionSetup, myląc Session.IdleTime z Session.ExpirationTime. Powodowało to unieważnienie połączeń drzewa (tree connects) i błędy STATUS_NETWORK_NAME_DELETED na mapowanych dyskach.

W jądrze Linux naprawiono błąd w module ksmbd dotyczący sprawdzania uprawnień DACL. Mechanizm kontroli dostępu nie uwzględniał wpisu ACE dla grupy Authenticated Users (S-1-5-11), co powodowało błędne odrzucanie dostępu (STATUS_ACCESS_DENIED) do plików, do których uwierzytelniony użytkownik powinien mieć prawo. Dodatkowo obliczanie maksymalnego dostępu sumowało maski z wszystkich wpisów ACE, nawet tych niedotyczących bieżącego użytkownika, co mogło przyznawać nieuprawnione prawa.