CVE-2026-80561
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W jądrze Linux w funkcji decode_locker() w cls_lock_client.c wykryto trzy niebezpieczne operacje dekodowania, które pozwalają złośliwemu lub skompromitowanemu OSD na wywołanie odczytów poza granicami (slab-out-of-bounds). Brak kontroli granic przed kopiowaniem nazwy, niekontrolowane przesunięcie wskaźnika oraz nieograniczona długość danych mogą doprowadzić do naruszenia pamięci. Poprawka polega na zastąpieniu niebezpiecznych operacji ich bezpiecznymi odpowiednikami i zwróceniu błędu -EINVAL w przypadku naruszenia granic.
Ocena ryzyka
Atakujący OSD w środowisku wielodostępnym Ceph może wykorzystać tę podatność do odczytu pamięci jądra poza dozwolonym obszarem, co może prowadzić do wycieku informacji lub destabilizacji systemu. Podatność może być wyzwolona przez każdego klienta jądra wykonującego metodę lock.get_info, np. podczas uzyskiwania wyłącznej blokady RBD.
Rekomendacja
Zaleca się natychmiastowe zastosowanie oficjalnej łatki jądra Linux zawierającej poprawkę dla decode_locker() oraz aktualizację systemów do wersji jądra z poprawką. Należy również ograniczyć zaufanie do OSD i monitorować sesje OSD pod kątem nietypowych zachowań.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-87765Średnie
W sterowniku apsys DVFS jądra systemu występuje możliwość odczytu poza zakresem lub uszkodzenia rejestru sprzętowego z powodu niewłaściwej walidacji indeksu częstotliwości. Może to prowadzić do niestabilności systemu lub odmowy usługi z lokalnymi uprawnieniami.
- CVE-2026-98374Nieznane
W jądrze Linux występuje podatność use-after-free w tcp_send_synack() dotycząca retransmit_skb_hint. Gdy tcp_send_synack() zastępuje sklonowany SYN skb na początku kolejki retransmisji kopią, zwalnia oryginał, ale tp->retransmit_skb_hint nadal wskazuje na zwolniony obiekt, co może być wykorzystane przez nieuprzywilejowanego klienta TFO do wywołania use-after-free.
- CVE-2026-98373Nieznane
W jądrze Linux występuje błąd w move_hugetlb_page_tables(), gdzie adres docelowy jest przesuwany zbyt daleko, gdy offsety w tablicach stron źródłowej i docelowej różnią się. Może to prowadzić do paniki jądra na x86-64.
- CVE-2026-98048Nieznane
W jądrze Linux w podsystemie BPF funkcja mark_fastcall_pattern_for_call() musi zapewnić, że dopasowana sekwencja instrukcji "spill; call; fill" nie jest przerwana przez skok. W przeciwnym razie przepisanie zastosowane przez bpf_remove_fastcall_spills_fills() jest niepoprawne. Poprawka rejestruje instrukcje będące celami skoków w insn_aux_data[*].jump_target i używa tej flagi do zatrzymania rozwijania wzorca.
- CVE-2026-98047Nieznane
W jądrze Linux w podsystemie BPF funkcja in_rbtree_lock_required_cb() sprawdza tylko najgłębszą ramkę weryfikatora, przez co ograniczenia callbacku rbtree znikają w zagnieżdżonej ramce wywołania statycznego podprogramu. Podprogram może odblokować drzewo, usunąć i zwolnić porównywany węzeł, a następnie ponownie zablokować, co prowadzi do wstawienia zwolnionej pamięci do drzewa.
- CVE-2026-98045Nieznane
W jądrze Linux podatność w weryfikatorze BPF dotyczy helperów stosu, które mogą blokować na odczytach systemu plików (np. przy rozwiązywaniu build ID), ale nie były oznaczone jako uśpialne. Weryfikator mógł zezwolić na ich wywołanie z regionów nieuśpialnych, takich jak sekcje RCU czy z wyłączonym wywłaszczaniem.
- CVE-2026-98044Nieznane
W jądrze Linux weryfikator BPF błędnie obsługiwał przestarzałe instrukcje ładowania pakietów (BPF_LD_ABS/BPF_LD_IND) wywoływane z callbacków, co prowadziło do błędu weryfikatora i ostrzeżenia oraz błędu -EFAULT przy BPF_PROG_LOAD. Uprawniony ładowacz programów mógł wywołać ten problem.
- CVE-2026-98043Nieznane
W jądrze Linux weryfikator BPF błędnie wnioskował, że wskaźnik z nieograniczonym przesunięciem jest nie-NULL, opierając się tylko na typie. W wyniku tego program BPF mógł przejść weryfikację, a w czasie działania nastąpiło wyłuskanie wskaźnika NULL.
- CVE-2026-98042Nieznane
W jądrze Linux weryfikator BPF mógł przywrócić identyfikator skalara usunięty przez collect_linked_regs(), ponieważ kopie porównywanych rejestrów były wykonywane przed zebraniem powiązanych rejestrów. Mogło to prowadzić do niespójności zakresów i propagacji precyzji.
- CVE-2026-98041Wysokie
W jądrze Linux weryfikator BPF błędnie przewidywał wynik porównania wskaźnika z zerem w instrukcjach JMP32, nie odróżniając porównań BPF_JMP od BPF_JMP32. Prowadziło to do nieprawidłowego wnioskowania o zawsze wykonanym skoku.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: libceph: fix multiple unsafe decodes in decode_locker() decode_locker() in cls_lock_client.c contains three unsafe decode operations that allow a malicious or compromised OSD to trigger slab-out-of-bounds reads: 1. ceph_decode_copy() at the locker_id_t name field has no preceding bounds check. With p == end after ceph_start_decoding() accepts struct_len=0, this reads sizeof(ceph_entity_name) = 9 bytes past the validated buffer boundary. 2. *p += sizeof(struct ceph_timespec) after the locker_info_t header is an unchecked pointer advance. A malicious OSD can position p past end, causing all subsequent _safe checks to pass against a bogus boundary. 3. len = ceph_decode_32(p) has no preceding bounds check, and the immediately following *p += len is uncapped. A malicious OSD can send len=0xffffffff, advancing p gigabytes past end and escaping the decode window entirely. Fix all three by replacing bare operations with their safe variants: ceph_decode_copy -> ceph_decode_copy_safe *p += sizeof(...) -> ceph_decode_skip_n ceph_decode_32(p) -> ceph_decode_32_safe *p += len -> ceph_decode_skip_n A new label is added to return -EINVAL on any bounds violation. -EINVAL is appropriate here: the data received from the OSD is structurally malformed, which is an invalid argument to the decode contract regardless of whether the caller or the wire is at fault. Attacker model: a malicious or compromised OSD in a multi-tenant Ceph deployment can trigger this against any kernel client that issues the lock.get_info class method (e.g. during RBD exclusive lock acquisition) without any further privileges beyond OSD session establishment. [ idryomov: use ceph_decode_skip_string() to skip description, trim changelog ]
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS