原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。ksmbdでは、セッションキーを更新する前にNTLMv2レスポンスを検証するべきですが、ksmbd_auth_ntlmv2()はNTLMv2レスポンスを検証する前にsess-＞sess_keyにNTLMv2セッションキーを導出していました。また、ksmbd_decode_ntlmssp_auth_blob()はksmbd_auth_ntlmv2()が失敗してもKEY_XCH処理に進行していました。SMB3マルチチャネルバインディングでは、認証失敗が既存のセッションで動作し、セッションセットアップのエラー経路でバインディングセッションが期限切れになりませんでした。クライアントが不正なNT証明とKEY_XCHを含むバインディングセッションセットアップを送信しても、STATUS_LOGON_FAILUREが返される前にsess-＞sess_keyを変更できてしまいます。関連する経路は以下の通りです。smb2_sess_setup()からconn-＞bindingをtrueに設定し、ntlm_authenticate()が呼ばれます。その中でsession_user()が実行され、さらにksmbd_decode_ntlmssp_auth_blob()が呼ばれます。その後、ksmbd_auth_ntlmv2()が呼ばれ、calc_ntlmv2_hash()やhmac_md5_usingrawkey(..., sess-＞sess_key)、crypto_memneq()が実行されます。crypto_memneq()が不一致を返すとKEY_XCH arc4_crypt(..., sess-＞sess_key, ...)処理が続きますが、バインディングセッションを期限切れにしません。基本のセッションキーはローカルバッファに導出し、証明が一致した後にのみsess-＞sess_keyにコピーされます。認証に失敗した場合は直ちに処理を終了し、KEY_XCHは認証成功後にのみ処理されるように修正されました。