Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - libceph：修复 decode_lockers（） 中的两个不安全的裸解码 cls_lock_client.c 中的 decode_lockers（） 包含两个裸解码操作，允许恶意或已被破坏的 OSD 触发 slab-out-of-bound 读取：
    1. num_lockers 字段的 ceph_decode_32（p） 没有事先边界检查。ceph_start_decoding（） 接受 struct_len=0 为有效 -- 内部 ceph_decode_need（p， end， 0， bad） 始终传递 -- 因此当 OSD 发送 struct_len=0 时，ceph_start_decoding（） 返回 success 并返回 p == end。紧随其后的裸 ceph_decode_32（p） 随后会读取超出经过验证的缓冲区边界的 4 个字节。垃圾值作为储物柜计数直接传递给 kzalloc_objs（）。osd_client.c 中的同级函数 decode_watchers（） 在其自己的 ceph_start_decoding（） 调用之后已使用 ceph_decode_32_safe（）。decode_lockers（） 是唯一使用裸变量的站点。2. decode_locker（） 循环之后的 ceph_decode_8（p） 没有事先的边界检查。如果 OSD 构建num_lockers，使得循环前进 p 恰好结束，则后续裸ceph_decode_8（p） 会读取超过验证缓冲区边界一个字节。结果直接传递到
    *type，由调用方用作锁定类型鉴别器，提供直接影响锁定类型字段的受 OSD 控制的单字节 OOB 读取。通过将裸操作替换为安全变体来修复这两个问题：ceph_decode_32（p） -> ceph_decode_32_safe（p， end， *num_lockers， err_inval） ceph_decode_8（p） -> ceph_decode_8_safe（p， end， *type， err_free_lockers） 转至目标有意不同：err_inval： 是直接返回 -EINVAL 的新标签。它用于尚未分配 *lockers 且不得传递至 ceph_free_lockers（） 的预分配失败路径。err_free_lockers：为现有标签。它用于分配 *lockers 且必须释放的分配后失败路径。ret 设置为
    在 ceph_decode_8_safe（） 之前执行 -EINVAL，以便 err_free_lockers 在发生边界违规时返回正确的错误代码。如果没有此操作，err_free_lockers将返回一个过时的 ret 值（来自成功的 decode_locker（） 循环的 0），从而静默吞下错误。-EINVAL 适用于两个故障路径。从 OSD 接收的数据在结构上畸形。-ENOMEM 会向调用方和stable@向后移植器歪曲故障类，以对错误路径进行分类。攻击者模型：多租户 Ceph 部署中恶意或遭到破坏的 OSD 可针对发出 lock.get_info 类方法（例如 RBD 独占锁获取期间）的任何内核客户端触发此漏洞。[ idryomov：修剪变更日志、格式化 ]（CVE-2026-68082）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-68082

critical Nessus 插件 ID 333534

版本 1.1