CVE-2024-26594: falha crítica em Linux
ksmbd: validate mech token in session setup
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O servidor SMB ksmbd no Linux não validava corretamente os tokens de autenticação enviados por clientes durante o setup de sessão, permitindo que tokens inválidos passassem sem validação. Isso poderia permitir que atacantes estabelecessem conexões não autorizadas.
O ksmbd não validava o token de mecanismo (mech token) na requisição de setup de sessão SMB, permitindo que clientes enviassem tokens de autenticação malformados ou inválidos sem rejeição apropriada. Um atacante não autenticado pode disparar isso enviando uma requisição de setup de sessão com um mech token inválido, potencialmente contornando controles de autenticação.
No mesmo produto, das mais perigosas para as menos.