FreeBSD-Kernel-RCE durch kgssapi.ko Stack-Pufferüberlauf (CVE-2026-4747)

Schwachstellen-Details

Die Schwachstelle existiert in sys/rpc/rpcsec_gss/svc_rpcsec_gss.c innerhalb der Funktion svc_rpc_gss_validate(). Ein 128-Byte-Stack-Puffer (rpchdr[]) wird verwendet, um RPC-Header für die GSS-API-Signaturüberprüfung zu rekonstruieren. Nach dem Schreiben von 32 Bytes fester RPC-Header-Felder kopiert die Funktion den gesamten RPCSEC_GSS-Credential-Body (oa_length Bytes) in den verbleibenden Speicherplatz ohne Grenzprüfung.

static bool_t svc_rpc_gss_validate(...) {
    int32_t rpchdr[128 / sizeof(int32_t)]; // 128 Bytes auf dem Stack
    // ...
    if (oa->oa_length) {
        // FEHLER: Keine Grenzprüfung für oa_length!
        // Nach 32 Bytes Header bleiben nur 96 Bytes in rpchdr.
        // Wenn oa_length > 96, überläuft dies über rpchdr hinaus
        memcpy((caddr_t)buf, oa->oa_base, oa->oa_length);
    }
}

Angriffsfläche und Auswirkungen

Das anfällige Modul kgssapi.ko implementiert RPCSEC_GSS-Authentifizierung für FreeBSDs Kernel-RPC-Subsystem. Der NFS-Server-Daemon (nfsd), der auf Port 2049/TCP lauscht, verarbeitet RPC-Pakete im Kernel-Kontext und verwendet dieses Modul, wenn RPCSEC_GSS-Authentifizierung aktiviert ist. Erfolgreiche Ausnutzung führt zu Remote-Kernel-RCE mit Root-Rechten (uid 0 Reverse Shell).

Betroffene Versionen

• FreeBSD 13.5 (<p11)
• FreeBSD 14.3 (<p10)
• FreeBSD 14.4 (<p1)
• FreeBSD 15.0 (<p5)

Die Korrektur

Der Patch für FreeBSD 14.4-RELEASE-p1 fügt eine Grenzprüfung vor dem Kopieren hinzu:

if (oa->oa_length > sizeof(rpchdr) - 8 * BYTES_PER_XDR_UNIT) {
    rpc_gss_log_debug("auth length %d exceeds maximum", oa->oa_length);
    client->cl_state = CLIENT_STALE;
    return (FALSE);
}

Stack-Layout-Analyse

Aus der Disassemblierung der Funktion befindet sich das rpchdr-Array bei [rbp-0xc0]. Der memcpy schreibt nach rpchdr + 32 = [rbp-0xa0]. Mit einem 16-Byte-Kontexthandle im Credential-Body landet die Rücksprungadresse bei Credential-Body-Byte 200, was die Kontrolle des Ausführungsflusses ermöglicht.