CVE-2026-28296

W backendzie administracyjnym gvfs wykryto lukę. Uprzywilejowany demon gvfsd-admin zmienia właściciela nowo utworzonych prywatnych gniazd D-Bus, wywołując podążającą za dowiązaniami funkcję chown() na ścieżce w katalogu kontrolowanym przez użytkownika. Lokalny atakujący może wykorzystać warunek wyścigu TOCTOU i podmienić ścieżkę gniazda na dowiązanie symboliczne wskazujące na dowolny plik należący do roota, co prowadzi do zmiany właściciela tego pliku na identyfikator atakującego i pełnej eskalacji uprawnień do roota.

W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.

W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.

W backendzie SFTP w gvfs wykryto błąd. Podczas montowania udziału i odczytu pliku złośliwy serwer SFTP może spowodować, że funkcja read_reply() przetworzy długość większą niż żądana przez klienta, co prowadzi do zapisu poza zamierzone granice pamięci. Może to spowodować uszkodzenie sterty w procesie gvfsd-sftp, prowadząc do odmowy usługi lub potencjalnie do wykonania dowolnego kodu.

W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.

W backendzie FTP GVfs wykryto podatność, w której złośliwy serwer FTP może podać dowolny adres IP i port w odpowiedzi trybu pasywnego (PASV). Klient bezwarunkowo ufa tym informacjom i próbuje połączyć się ze wskazanym punktem końcowym, co pozwala złośliwemu serwerowi sondować otwarte porty dostępne z sieci klienta.