原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。smb: clientにおいて、暗黙のbcc[0]の免除をデータ領域を持たないレスポンスのみに制限しました。smb2_check_message()には長年の特異点があり、実際に受信したバイト数より1バイト長い計算上の長さを持つレスポンスを受け入れてしまいます（「サーバーは暗黙のbcc[0]により1バイト多く返す可能性がある」ためです）。これは、データ領域が存在しない場合に末尾のbcc[0]重複バイトを省略するサーバーに対応するために導入されました。しかし、この免除はコマンドが実際にデータ領域を持つかどうか（has_smb2_data_area[]）に関わらず無条件に適用されていました。データ領域付きのレスポンスに+1の免除が適用されると、報告されるデータは実際に受信したバイト範囲を1バイト超えてしまいますが、smb2_check_message()はそれを問題なく受け入れてしまいます。その後のデコーダは受信バッファの末尾を越えて読み込みを行います。この問題はセッション確立前のNEGOTIATEおよびSESSION_SETUP段階で到達可能です。これにより本来外である範囲の読み込み（Out-of-Bounds Read）がKASAN下で検出され、不適合なサーバーに対してマウントを行う際にSPNEGO/negTokenInitおよびNTLMSSPチャレンジデコーダの両方に影響を及ぼします。【KASANレポート例】- slab-out-of-boundsがasn1_ber_decoder関数内で発生しました。- サイズ1の読み込みが予定外のアドレスで行われました。- 448バイトのキャッシュ領域の直後を読み込んでいます。+1の免除をデータ領域を持たないレスポンスのみに限定し、bcc[0]省略に対応しました。しかし、データ領域が存在する場合は+1の差異が報告されるデータ長が実際のバイト長を超えることを意味するため、これにより不正な読み込みを防止しています。