CVE-2026-80537 in Linux
Zusammenfassung
von VulDB • 26.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
xfs: Korrektur eines Off-by-One-Fehlers bei der Validierung des Root-Levels im rtrefcount-Baum (Btree)
xfs_rtrefcountbt_compute_maxlevels() setzt
mp->m_rtrefc_maxlevels = min(d_maxlevels, r_maxlevels) + 1;
wobei das abschließende "+ 1" bereits den Inode-Root-Level berücksichtigt. Daher ist der tiefste gültige Root-Level auf dem Datenträger m_rtrefc_maxlevels - 1, und ein Cursor muss die Bedingung bc_nlevels <= bc_maxlevels (= m_rtrefc_maxlevels) erfüllen.
Die beiden Validierungspfade für den Datenträger, xfs_rtrefcountbt_verify() und xfs_iformat_rtrefcount(), prüfen das Root-Level mit ">" anstelle von ">=", sodass ein speziell angefertigtes rtreflink-Abbild (metadir + realtime + reflink), bei dem die bb_level des /rtgroups/N.refcount-Inodes gleich m_rtrefc_maxlevels ist, beim Einhängen akzeptiert wird. xfs_rtrefcountbt_init_cursor() setzt anschließend bc_nlevels = bb_level + 1 und überschreitet damit bc_maxlevels um eins. Da das xfs_rtrefcountbt_cur-Slab-Objekt genau für bc_maxlevels-Einträge dimensioniert ist, indiziert der erste Btree-Vorgang auf einem solchen Cursor bc_levels[m_rtrefc_maxlevels] außerhalb des Objekts. Dies wird durch den ersten rtrefcount-Cursor ausgelöst, der nach dem Einhängen erstellt wird, entweder über die Log-/CoW-Wiederherstellung (xfs_reflink_recover_cow() während xfs_mountfs()) oder einen FS_IOC_GETFSMAP-Aufruf über das Echtzeitgerät.
Es wird ein Root-Level abgelehnt, das gleich m_rtrefc_maxlevels ist, was der bereits von den Validierern für die Refcount-/Rmap-Daten des Geschwisterdatenträgers und dem im-Speicher befindlichen rtrmap-Validator verwendeten ">="-Form entspricht.
BUG: KASAN: slab-out-of-bounds in xfs_btree_lookup (fs/xfs/libxfs/xfs_btree.c:2101) Write of size 2 at addr ffff888018391658 by task exploit/144 xfs_btree_lookup (fs/xfs/libxfs/xfs_btree.c:2101) xfs_btree_query_range (fs/xfs/libxfs/xfs_btree.c:5308) xfs_refcount_recover_cow_leftovers (fs/xfs/libxfs/xfs_refcount.c:2113) xfs_reflink_recover_cow (fs/xfs/xfs_reflink.c:1085) xlog_recover_finish (fs/xfs/xfs_log_recover.c:3551) xfs_mountfs (fs/xfs/xfs_mount.c:1158) xfs_fs_fill_super (fs/xfs/xfs_super.c:1940) get_tree_bdev_flags (fs/super.c:1634) vfs_get_tree (fs/super.c:1694) path_mount (fs/namespace.c:4161) __x64_sys_mount (fs/namespace.c:4367) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121) Die fehlerhafte Adresse gehört zum Cache xfs_rtrefcountbt_cur mit einer Größe von 216 Bytes. Die fehlerhafte Adresse befindet sich 8 Byte rechts neben der zugewiesenen Region [ffff888018391578, ffff888018391650) mit 216 Bytes.
Kernel panic - not syncing: Fatal exception
If you want to get best quality of vulnerability data, you may have to visit VulDB.