CVE-2026-90169

W jądrze Linux w serwerze SMB (ksmbd) bufor zwracany przez ksmbd_ipc_login_request_ext() nie był zwalniany po wywołaniach ksmbd_alloc_user(), co powodowało wyciek pamięci widoczny w kmemleak. Poprawka polega na bezwarunkowym zwolnieniu tego bufora.

W module ksmbd jądra Linux funkcja ipc_validate_msg() odczytuje pola długości (payload_sz, session_key_len, ngroups) z bufora odpowiedzi dostarczonego przez demona ksmbd w przestrzeni użytkownika, zanim zweryfikuje, czy bufor jest wystarczająco duży. Zbyt krótka odpowiedź powoduje odczyt poza granicami alokacji (slab-out-of-bounds), co prowadzi do błędu KASAN.

W jądrze Linux w module ksmbd zamknięcie pliku może przerwać trwające łamanie oplocka, gdy inny breaker już posiada referencję opinfo. Bez serializacji przejścia close z pozyskaniem bitu, zamknięcie może stać się nowym właścicielem breaka przez ścieżkę test_and_set_bit() i nadpisać OPLOCK_CLOSING stanem OPLOCK_ACK_WAIT, kontynuując break dla ginącego opinfo.

W module ksmbd jądra Linux występuje błąd cyklu życia blokad plików. Zachowane obiekty file_lock mogą wciąż należeć do grafu zablokowanych żądań VFS, a ich bezpośrednie zwolnienie powoduje naruszenie BUG_ON oraz możliwość użycia zwolnionej pamięci.

W module ksmbd jądra Linux funkcja ksmbd_all_conn_set_status() błędnie traktuje każde połączenie z ustawioną flagą tymczasowego powiązania jako należące do docelowego SessionId. W efekcie wylogowanie lub zastąpienie sesji może przenieść niezwiązane połączenie w stan NEED_RECONNECT lub NEED_SETUP.

W module ksmbd jądra Linux funkcja ksmbd_session_register() nie usuwa sesji z sessions_table ani nie zwalnia referencji tabeli, gdy xa_store() zakończy się niepowodzeniem. Prowadzi to do wycieku sesji, ponieważ licznik referencji pozostaje na poziomie 1 i sesja nie zostaje zwolniona.

W jądrze Linux w module ksmbd występuje podatność use-after-free w funkcji smb2_tree_connect(). Nowo utworzone połączenie drzewa jest publikowane w sesji, a następnie używane przez procedurę obsługi, podczas gdy równoczesne wylogowanie sesji może zwolnić ten obiekt, zanim obsługa się zakończy.

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W jądrze Linux naprawiono błąd use-after-free w mechanizmie powiadomień o przerwaniu oplocku w module ksmbd. Funkcja smb2_oplock_break_noti() odczytywała wskaźnik opinfo->conn bez blokady i używała go po operacjach alokacji, które mogą usypiać, co pozwalało na wyścig z procesem rozłączania trwałego uchwytu (durable handle) i dostęp do zwolnionego połączenia. Podatność może być wykorzystana przez każdego uwierzytelnionego klienta posiadającego trwały batch oplock.

W jądrze systemu Linux zidentyfikowano podatność w ksmbd, która polega na błędzie use-after-free związanym z natychmiastowym zwalnianiem pamięci struktury oplock_info. Problem ten występuje, gdy wskaźnik jest unieważniany bez opóźnienia w okresie łaski RCU, co pozwala na dostęp do już zwolnionej pamięci.