CVE-2026-64141
Beschrijving NL
In de Linux kernel is de volgende kwetsbaarheid verholpen:
ksmbd: fix null pointer dereferentie in compare_guid_key()
session_fd_check() loopt de per-inode m_op_list tijdens duurzame handgreep
sessie teardown en sets op->conn = NULL voor elke opinfo wiens conn
kwam overeen met de verbinding van de afsluitende sessie. De bijpassende opinfo echter,
blijft gekoppeld in zijn per-ClientGuid lease_table_list entry's lb->lease_list
omdat destroy_lease_table() alleen draait op volledige TCP-verbinding teardown,
niet op SESSION_LOGOFF. Als dezelfde TCP-verbinding vervolgens een nieuwe sessie onderhandelt met de
dezelfde ClientGuid (ClientGuid is verplicht te ONDERHANDELEN, niet de sessie, en
is onveranderd in LOGOFF + SETUP) en geeft EEN SMB2-creatie uit met een
leasecontext op een andere inode, find_same_lease_key() wandelingen
lb->lease_list, bereikt de oude opinfo en roept compare_guid_key() aan,
die opinfo- > conn->ClientGUID onvoorwaardelijk dereferences. De conn-aanwijzer
is NULL en de kernel raakt in paniek. Reproducer vereist alleen een succesvolle SMB2 SESSION_SETUP en een share
geconfigureerd met 'durable handles = yes'. KASAN-rapport over mainline
70390501d194:
algemene beschermingsfout, waarschijnlijk voor niet-canoniek adres
0xdffffc0000000069: 0000 [#1] SMP KASAN PTI
KASAN: null-ptr-deref binnen bereik [0x0000000000000348-0x000000000000034f]
Werkvoorraad: ksmbd-io handle_ksmbd_work
RIP: 0010:bcmp+0x5b/0x230
Oproeptracering:
compare_guid_key+0x4b/0xd0
find_same_lease_key+0x324/0x690
smb2_open+0x6aea/0x8e60
handle_ksmbd_work+0x796/0xee0
... Storingsadres 0x348 is de offset van ClientGUID binnen struct
ksmbd_conn, bevestiging opinfo->conn was NULL. Lees opinfo->conn een keer en bail out als het is gewist door een
gelijktijdige sessie_fd_check(). Een half-vrijstaande opinfo kan niet de
eigenaar van een actieve huurovereenkomst, dus het retourneren van 0 is het juiste matchresultaat.
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
ksmbd: fix null pointer dereference in compare_guid_key()
session_fd_check() walks the per-inode m_op_list during durable-handle
session teardown and sets op->conn = NULL for every opinfo whose conn
matched the closing session's connection. The matching opinfo, however,
stays linked in its per-ClientGuid lease_table_list entry's lb->lease_list
because destroy_lease_table() only runs on full TCP-connection teardown,
not on SESSION_LOGOFF.
If the same TCP connection then negotiates a fresh session with the
same ClientGuid (ClientGuid is bound to NEGOTIATE, not the session, and
is unchanged across LOGOFF + SETUP) and issues a SMB2 CREATE with a
lease context on a different inode, find_same_lease_key() walks
lb->lease_list, reaches the stale opinfo, and calls compare_guid_key(),
which unconditionally dereferences opinfo->conn->ClientGUID. The conn
pointer is NULL and the kernel panics.
Reproducer requires only a successful SMB2 SESSION_SETUP and a share
configured with 'durable handles = yes'. KASAN report on mainline
70390501d194:
general protection fault, probably for non-canonical address
0xdffffc0000000069: 0000 [#1] SMP KASAN PTI
KASAN: null-ptr-deref in range [0x0000000000000348-0x000000000000034f]
Workqueue: ksmbd-io handle_ksmbd_work
RIP: 0010:bcmp+0x5b/0x230
Call Trace:
compare_guid_key+0x4b/0xd0
find_same_lease_key+0x324/0x690
smb2_open+0x6aea/0x8e60
handle_ksmbd_work+0x796/0xee0
...
Faulting address 0x348 is the offset of ClientGUID within struct
ksmbd_conn, confirming opinfo->conn was NULL.
Read opinfo->conn once and bail out if it has been cleared by a
concurrent session_fd_check(). A half-detached opinfo cannot be the
owner of an active lease, so returning 0 is the correct match result.