В ядре Linux устранена следующая уязвимость:
ntfs: привязана запись списка атрибутов в ntfs_read_inode_mount()
Проход по списку атрибутов $MFT в ntfs_read_inode_mount() проверяет каждый
запись только с помощью «(u8 *)al_entry + 6 > al_end» и
«(u8 *)al_entry + le16_to_cpu(al_entry->length) > al_end», но затем читает
al_entry->lowest_vcn (__le64 со смещением 8) и al_entry->mft_reference
(смещение 16) — поля за пределами 6 байтов находятся в диапазоне. al_entry->длина
контролируется злоумышленником и требует только ненулевого значения, поэтому короткая запись (например.
длина 8), помещенная в хвост, проходит обе проверки, в то время как самый низкий_vcn/
Чтения mft_reference выходят за рамки al_end.
al_end — это ni->attr_list + attr_list_size (размер на диске); буфер
kvzalloc(round_up(attr_list_size, SECTOR_SIZE)), поэтому округление сектора
обычно поглощает излишнее чтение, но когда attr_list_size кратен
SECTOR_SIZE нет резерва, и созданный список атрибутов $MFT создает
чтение за пределами границ во время монтирования.
Подтвердите запись с помощью ntfs_attr_list_entry_is_valid() (добавлено в патче).
1/3) перед его разыменованием, сопоставляя привязку с другим списком атрибутов
прогулки теперь использую. Валидатор уже требует длину для покрытия фиксированного
заголовок, что делает отдельную проверку "!al_entry->length" лишней, поэтому
скинь и это.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: ntfs: bound the attribute-list entry in ntfs_read_inode_mount() The $MFT attribute-list walk in ntfs_read_inode_mount() validates each entry only with "(u8 *)al_entry + 6 > al_end" and "(u8 *)al_entry + le16_to_cpu(al_entry->length) > al_end", but then reads al_entry->lowest_vcn (an __le64 at offset 8) and al_entry->mft_reference (offset 16) -- fields beyond the 6 bytes proven in range. al_entry->length is attacker-controlled and only required non-zero, so a short entry (e.g. length 8) placed at the tail passes both checks while the lowest_vcn / mft_reference reads fall past al_end. al_end is ni->attr_list + attr_list_size (the on-disk size); the buffer is kvzalloc(round_up(attr_list_size, SECTOR_SIZE)), so the sector rounding usually absorbs the over-read -- but when attr_list_size is a multiple of SECTOR_SIZE there is no slack and a crafted $MFT attribute list produces an out-of-bounds read at mount time. Validate the entry with ntfs_attr_list_entry_is_valid() (added in patch 1/3) before dereferencing it, matching the bound the other attribute-list walks now use. The validator already requires the length to cover the fixed header, which makes the separate "!al_entry->length" check redundant, so drop it too.