JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025998 Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbd: smb_check_perm_dacl()における境界外読み取りの修正。smb_check_perm_dacl()内の権限チェック用ACEの処理では、ACEヘッダーのサイズを検証し、sid.num_subauthをSID_MAX_SUB_AUTHORITIESで制限しています。しかし、compare_sids()がそれを参照する前に、ace-＞sizeが実際にnum_subauth分のサブ権限を含むのに十分な大きさであるかどうかをチェックしていません。CIFS_SID_BASE_SIZEはsub_auth[]配列を除くSIDヘッダーの部分をカバーし、offsetof(struct smb_ace, sid)はACEヘッダーを指します。既存のガードは8バイトのSIDベース（つまりサブ権限が0個）を保証するのみです。compare_sids()はi ＜ min(local_sid-＞num_subauth, ace-＞sid.num_subauth)の範囲でace-＞sid.sub_auth[i]を読み取ります。比較対象のローカルSID（sid_everyone、sid_unix_NFS_mode、id_to_sid()の結果）は少なくとも1つのサブ権限を持っています。また、攻撃者はACEのリビジョンと権限バイト（範囲内SIDベースに存在）を操作可能なため、それらのSIDのいずれかと一致させてsub_authの読み取りを強制できます。サイズが16でnum_subauthが1以上の細工されたACEをセキュリティディスクリプターの末尾に配置すると、pntsd割り当ての後ろ側に最大でSID_MAX_SUB_AUTHORITIES * sizeof(__le32)バイトのヒープ境界外読み取りが引き起こされます。セキュリティディスクリプターはksmbd_vfs_get_sd_xattr()によりオンディスクデータと同じ正確なサイズのバッファ（ndr_decode_v4_ntacl()内のkzalloc(sd_size)）にロードされるため、この読み取りは割り当て範囲外へのアクセスとなります。破損したディスクリプターはSMB2_SET_INFOを通じてそのまま保存可能であり（DACLは書き込み前にセキュリティ.NTACL xattr内で正規化されません）、この読み取りは後続のSMB2_CREATEアクセスチェック時に発生し、ACL xattrを使用する共有に対する認証済みクライアントから利用される可能性があります。parse_dacl()およびsmb_inherit_dacl()という兄弟パーサーに既に存在する同一のガードを反映し、num_subauthとace_sizeに関する不足していたチェックを追加しました。 cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025998.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53390 https://www.cve.org/CVERecord?id=CVE-2026-53390 National Vulnerability Database (NVD) CVE-2026-53390 https://nvd.nist.gov/vuln/detail/CVE-2026-53390 JVNDB CWE-125 https://cwe.mitre.org/data/definitions/125.html 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/e36e35660adb9b8ef1435ac359151dda5f094c55) https://git.kernel.org/stable/c/e36e35660adb9b8ef1435ac359151dda5f094c55 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/36599894fa8536fefdf1e296c0af71b8b7226859) https://git.kernel.org/stable/c/36599894fa8536fefdf1e296c0af71b8b7226859 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/c7488c85fd822959e9b5c22fbd9e7c8a21caf5e0) https://git.kernel.org/stable/c/c7488c85fd822959e9b5c22fbd9e7c8a21caf5e0 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/7627ff8c4f9919f14de562b0160ab4ec9d80b1f7) https://git.kernel.org/stable/c/7627ff8c4f9919f14de562b0160ab4ec9d80b1f7 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/988c93d3bba066d8669143e6ec30bb2be9608d53) https://git.kernel.org/stable/c/988c93d3bba066d8669143e6ec30bb2be9608d53 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/1ef06004ed4bd6d3ed8c840d9d1a376b66d4935b) https://git.kernel.org/stable/c/1ef06004ed4bd6d3ed8c840d9d1a376b66d4935b 関連文書 ksmbd: fix out-of-bounds read in smb_check_perm_dacl() - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/d5c81a095c86fe507c032d08f3a8cfc518444927) https://git.kernel.org/stable/c/d5c81a095c86fe507c032d08f3a8cfc518444927 2026-07-30T17:44:31+09:00 2026-07-30T17:44:31+09:00