原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。nvmet-authに関して、返信メッセージのペイロード境界を転送長と照合して検証するnvmet_auth_reply()関数は、割り当てられたバッファサイズtlバイト内に収まるかどうかを検証せず、攻撃者が制御するhl（ハッシュ長）およびdhvlen（DH値長）フィールドを使用して可変長のrval[]配列にアクセスします。悪意のあるNVMe-oFイニシエータは、小さな転送長に対して大きなhl/dhvlen値を持つDHCHAP_REPLYメッセージを作成し、ターゲットがDH公開鍵（rval + 2*hl）を処理したりホスト応答のmemcmpを実行した際にヒープ外読み取りを引き起こす可能性があります。DH認証が設定されている場合、OOBポインタはsg_init_one()に直接渡され、crypto_kpp_compute_shared_secret()によって読み取られ、バッファを最大526バイト超過してアクセスされます。この脆弱性は認証前でも悪用可能です。可変長フィールドにアクセスする前に、sizeof(*data) + 2*hl + dhvlen ＜= tlという境界チェックを追加しました。この脆弱性は、Atuinという自動脆弱性発見エンジンによって発見されました。