CVE-2026-84270
ŚrednieCVSS 4.3Streszczenie
W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.
Ocena ryzyka
Ryzyko obejmuje awarię procesu gvfsd-mtp, co może uniemożliwić użytkownikom korzystanie z urządzeń MTP i prowadzić do niestabilności systemu.
Rekomendacja
Zaleca się aktualizację gvfs do wersji zawierającej poprawkę, która ogranicza długość danych do żądanego rozmiaru, oraz unikanie podłączania niezaufanych urządzeń MTP.
Inne podatności w gvfs
Zobacz wszystkie- CVE-2026-84269Średnie
W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.
- CVE-2026-84268Wysokie
W backendzie SFTP w gvfs wykryto błąd. Podczas montowania udziału i odczytu pliku złośliwy serwer SFTP może spowodować, że funkcja read_reply() przetworzy długość większą niż żądana przez klienta, co prowadzi do zapisu poza zamierzone granice pamięci. Może to spowodować uszkodzenie sterty w procesie gvfsd-sftp, prowadząc do odmowy usługi lub potencjalnie do wykonania dowolnego kodu.
- CVE-2026-84267Średnie
W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the MTP backend in gvfs. When reading a file from a mounted MTP device, do_read() in gvfsbackendmtp.c trusts the data length returned by the device without limiting it to the original size requested by the client. If a malicious MTP device responds with more bytes than requested, this unrestricted length is passed directly to memcpy(). This causes the operation to read memory outside the intended boundaries. This allows an attacker who plugs in a malicious MTP device to cause a segmentation fault when a file is read and crash the gvfsd-mtp process, resulting in a denial of service.