CVE-2026-80869 in Linux
Zusammenfassung
von VulDB • 04.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
ntfs: Begrenzung des Attributlisten-Eintrags in ntfs_read_inode_mount()
Der $MFT-Attributlistendurchlauf in ntfs_read_inode_mount() validiert jeden Eintrag nur mit den Prüfungen "(u8 *)al_entry + 6 > al_end" und "(u8 *)al_entry + le16_to_cpu(al_entry->length) > al_end", liest jedoch anschließend al_entry->lowest_vcn (eine __le64 an Offset 8) sowie al_entry->mft_reference (Offset 16) – also Felder, die jenseits der um 6 Bytes nachgewiesenen Reichweite liegen. Die Länge von al_entry wird vom Angreifer kontrolliert und muss lediglich ungleich Null sein; daher besteht bei einem kurzen Eintrag (z. B. mit der Länge 8), der am Ende platziert ist, ein Problem: Er bestanden beide Prüfungen, während die Lesezugriffe auf lowest_vcn bzw. mft_reference über al_end hinausgehen.
al_end entspricht ni->attr_list + attr_list_size (die Größe im Dateisystem); der Puffer wird mit kvzalloc(round_up(attr_list_size, SECTOR_SIZE)) alloziert, sodass das Auf-Runden auf Sektorgröße den Out-of-Bounds-Lesezugriff normalerweise abfängt – wenn jedoch attr_list_size ein Vielfaches von SECTOR_SIZE ist, gibt es keinen Pufferraum (Slack), und eine manipulierte $MFT-Attributliste führt beim Einhängen zu einem Lesezugriff außerhalb der Grenzen.
Der Eintrag wird vor dem Dereferenzieren mit ntfs_attr_list_entry_is_valid() validiert (hinzugefügt in Patch 1/3), wodurch die Begrenzung den anderen Attributlistendurchläufen entspricht, die nun verwendet werden. Der Validator erfordert bereits, dass die Länge den festen Header abdeckt; dadurch wird die separate Prüfung "!al_entry->length" überflüssig und kann ebenfalls entfernt werden.
Once again VulDB remains the best source for vulnerability data.