CVE-2026-98420

W jądrze Linux w serwerze SMB (ksmbd) bufor zwracany przez ksmbd_ipc_login_request_ext() nie był zwalniany po wywołaniach ksmbd_alloc_user(), co powodowało wyciek pamięci widoczny w kmemleak. Poprawka polega na bezwarunkowym zwolnieniu tego bufora.

W module ksmbd jądra Linux funkcja ipc_validate_msg() odczytuje pola długości (payload_sz, session_key_len, ngroups) z bufora odpowiedzi dostarczonego przez demona ksmbd w przestrzeni użytkownika, zanim zweryfikuje, czy bufor jest wystarczająco duży. Zbyt krótka odpowiedź powoduje odczyt poza granicami alokacji (slab-out-of-bounds), co prowadzi do błędu KASAN.

W jądrze Linux w module ksmbd sesje preautoryzacji (preauth_session) nie były zwalniane przy zamykaniu połączenia. Jeśli klient rozłączył się przed wysłaniem żądania authenticate, obiekt alokowany podczas NTLM negotiate nie był zwalniany ani przez ścieżkę authenticate, ani przez obsługę błędów, co powodowało wyciek pamięci.

W module ksmbd jądra Linux funkcja ksmbd_session_register() nie usuwa sesji z sessions_table ani nie zwalnia referencji tabeli, gdy xa_store() zakończy się niepowodzeniem. Prowadzi to do wycieku sesji, ponieważ licznik referencji pozostaje na poziomie 1 i sesja nie zostaje zwolniona.

W jądrze Linux w module ksmbd występuje podatność use-after-free w funkcji smb2_tree_connect(). Nowo utworzone połączenie drzewa jest publikowane w sesji, a następnie używane przez procedurę obsługi, podczas gdy równoczesne wylogowanie sesji może zwolnić ten obiekt, zanim obsługa się zakończy.

W jądrze Linux w module ksmbd funkcja ksmbd_reopen_durable_fd() podczas ponownego łączenia trwałego uchwytu (durable handle) przypisywała do nowej sesji wszystkie odłączone oplocki na danym i-nowęźle, a nie tylko ten należący do ponownie otwieranego pliku. Prowadziło to do sytuacji, w której jedna sesja przejmowała oplock innej sesji, a po zniszczeniu sesji przejmującej następowało użycie zwolnionej pamięci (use-after-free). Podatność występuje przy domyślnej konfiguracji udziału z obsługą durable handle i oplock, gdy dwie sesje otwierają ten sam plik z różnymi AppInstanceIds.

W jądrze Linux naprawiono błąd use-after-free w mechanizmie powiadomień o przerwaniu oplocku w module ksmbd. Funkcja smb2_oplock_break_noti() odczytywała wskaźnik opinfo->conn bez blokady i używała go po operacjach alokacji, które mogą usypiać, co pozwalało na wyścig z procesem rozłączania trwałego uchwytu (durable handle) i dostęp do zwolnionego połączenia. Podatność może być wykorzystana przez każdego uwierzytelnionego klienta posiadającego trwały batch oplock.

W jądrze systemu Linux zidentyfikowano podatność w ksmbd, która polega na błędzie use-after-free związanym z natychmiastowym zwalnianiem pamięci struktury oplock_info. Problem ten występuje, gdy wskaźnik jest unieważniany bez opóźnienia w okresie łaski RCU, co pozwala na dostęp do już zwolnionej pamięci.

W module ksmbd jądra Linux występuje podatność use-after-free związana z obiektem share_conf w żądaniach złożonych (compound). Funkcja smb2_get_ksmbd_tcon() ponownie używa work->tcon bez sprawdzenia tcon->t_state, przez co po wcześniejszym SMB2_TREE_DISCONNECT (które zwalnia share_conf) kolejne polecenia odwołują się do zwolnionej pamięci.

W jądrze Linux w module ksmbd wykryto podatność prowadzącą do odczytu poza granicami pamięci (slab-out-of-bounds) w funkcji init_smb2_rsp_hdr. Problem występuje, gdy próba montowania SMB1 kończy się niepowodzeniem, a serwer ksmbd błędnie obsługuje negocjację SMB1 jako operację SMB2, co powoduje nieprawidłowy odczyt pamięci.