原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。NFSv4/pNFSに関して、nfs4_decode_mp_ds_addr関数でゼロ長のr_addrを拒否するようになりました。nfs4_decode_mp_ds_addr()は、GETDEVICEINFOマルチパスDSボディからnetaddr4のr_netidおよびr_addrのオペークをデコードし、その後すぐにstrrchr(buf, '.')を呼び出してポート区切り文字を探します。どちらのデコードでもxdr_stream_decode_string_dup()を使用しており、現行コードは返された文字列をデリファレンスする前に「nlen ＜ 0」および「rlen ＜ 0」のみをチェックしています。しかし、ワイヤ上のオペークの長さがゼロの場合、xdr_stream_decode_opaque_inline()は0を返し、xdr_stream_decode_string_dup()は「*str = NULL; return ret」の部分に進み、bufがNULLのままで返り値は0になります。このため「＜ 0」のチェックでは検出できず、次の行でstrrchr(NULL, '.')が呼ばれてカーネルのNULLポインタ参照が発生します。この脆弱性は悪意ある、または侵害されたメタデータサーバにマウントされた任意のpNFS-flexfileクライアントから到達可能です。ゼロ長のケースを明示的に拒否し、デコーダがパニックを起こす代わりに-EBADMSG（不正なGETDEVICEINFOボディとして処理）で失敗するよう修正しました。