CVE-2026-84267
ŚrednieCVSS 4.3Streszczenie
W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych informacji o pamięci procesu, co może ułatwić atakującemu przeprowadzenie dalszych ataków, takich jak przejęcie kontroli nad procesem.
Rekomendacja
Zaleca się aktualizację gvfs do wersji zawierającej poprawkę, która zapewnia pełne wypełnienie bufora lub weryfikację długości odpowiedzi, oraz unikanie łączenia się z niezaufanymi serwerami SFTP.
Inne podatności w gvfs
Zobacz wszystkie- CVE-2026-84270Średnie
W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.
- CVE-2026-84269Średnie
W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.
- CVE-2026-84268Wysokie
W backendzie SFTP w gvfs wykryto błąd. Podczas montowania udziału i odczytu pliku złośliwy serwer SFTP może spowodować, że funkcja read_reply() przetworzy długość większą niż żądana przez klienta, co prowadzi do zapisu poza zamierzone granice pamięci. Może to spowodować uszkodzenie sterty w procesie gvfsd-sftp, prowadząc do odmowy usługi lub potencjalnie do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the SFTP backend in gvfs. When mounting a share, a malicious SFTP server can cause read_string() to allocate a buffer with a certain length but the function does not verify that the buffer is completely filled, leaving the remainder of the buffer containing uninitialized heap contents. If the server sends a short FXP_HANDLE reply, these uninitialized bytes are taken as the file handle. The client will then echo these uninitialized bytes back to the server on all subsequent requests using that handle. With a length of 128 bytes, this issue allows the malicious server to deterministically read uninitialized heap memory from the gvfsd-sftp process, leaking its heap base and the load address of the libgio library, resulting in a deterministic defeat of Address Space Layout Randomization (ASLR).