В ядре Linux устранена следующая уязвимость:
SUNRPC: отклонять токены-обертки krb5 v2 с слишком большим полем ec.
gss_krb5_unwrap_v2() устанавливает для buf->len логическое значение.
длина, которая может быть намного меньше head[0].iov_len
(выделенная емкость приема страниц). Затем он вызывает
xdr_buf_trim() с длиной обрезки, полученной из 16-битного
Поле «дополнительное количество» (ec) в заголовке токена Kerberos v2. Поле ec аутентифицируется функцией memcmp() после расшифровки.
против зашифрованной копии заголовка, поэтому случайно мутированный
значение отклонено.
Однако любой партнер, имеющий действующий GSS
context может законно зашифровать токен, ec которого превышает
длина открытого текста. Согласно RFC 4121, такой токен
структурно неправильная форма. Хотя xdr_buf_trim() теперь ограничивает вычитание buf->len
чтобы избежать беззнакового опустошения, буфер по-прежнему остается в
семантически недопустимое состояние (нулевая длина, противоречивый iov
длины), когда ec имеет слишком большой размер.
Отклоняйте эти токены перед вызовом xdr_buf_trim(), давая
вызывающие абоненты получают четко определенную ошибку GSS_S_DEFECTIVE_TOKEN и
сохранение внутренней согласованности xdr_buf. Завернутая капля
начинается с ненулевого смещения — оба вызывающих объекта передают len как
offset + opaque_len — поэтому buf->len все еще учитывает смещение
байты, которые предшествуют большому двоичному объекту. Сравните длину обрезки
против оставшегося обернутого сегмента, buf->len - смещение,
а не весь буфер; сравнение с buf->len
оставляет окно шириной со смещением, в котором негабаритный ec
проходит тест, и xdr_buf_trim() разрезает байты вперед
капли.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: SUNRPC: Reject krb5 v2 wrap tokens with oversized ec field gss_krb5_unwrap_v2() sets buf->len to a logical length, which can be much smaller than head[0].iov_len (the allocated receive-page capacity). It then calls xdr_buf_trim() with a trim length derived from the 16-bit "extra count" (ec) field in the Kerberos v2 token header. The ec field is authenticated by the post-decrypt memcmp() against the encrypted header copy, so a randomly-mutated value is rejected. However, any peer holding a valid GSS context can legitimately encrypt a token whose ec exceeds the plaintext length. Per RFC 4121, such a token is structurally malformed. Although xdr_buf_trim() now clamps the buf->len subtraction to avoid unsigned underflow, the buffer is still left in a semantically invalid state (zero length, inconsistent iov lengths) when ec is oversized. Reject these tokens before calling xdr_buf_trim(), giving callers a well-defined GSS_S_DEFECTIVE_TOKEN error and keeping the xdr_buf internally consistent. The wrapped blob begins at a nonzero offset -- both callers pass len as offset + opaque_len -- so buf->len still counts the offset bytes that precede the blob. Compare the trim length against the remaining wrapped segment, buf->len - offset, rather than the whole buffer; comparing against buf->len alone leaves an offset-wide window in which an oversized ec passes the test and xdr_buf_trim() cuts into the bytes ahead of the blob.
Характеристики атаки
Последствия
Строка CVSS v3.1