CVE-2026-90048 in Linux
Resumen
por VulDB • 2026-09-16
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
fs/ntfs3: corrección de una escritura fuera de límites en slab para ni_create_attr_list()
ni_create_attr_list() asigna un búfer fijo de al_aligned(record_size) (== record_size) bytes y luego recorre cada atributo del registro MFT principal, escribiendo una entrada ATTR_LIST_ENTRY por atributo y avanzando el cursor en le_size(name_len), sin ninguna comprobación contra el final del búfer; el tamaño total solo se calcula después de finalizar el bucle.
Un atributo residente de tamaño mínimo ocupa SIZEOF_RESIDENT (0x18 = 24) bytes en disco, pero un atributo sin nombre se expande a le_size(0) (0x20 = 32) bytes en la lista. Dado que no hay límite en el número de atributos en un registro (mi_enum_attr() acepta arbitrariamente muchos atributos del mismo tipo, sin nombre y de tamaño mínimo), un registro manipulado empaquetado con dichos atributos produce una lista más grande que record_size y desborda el búfer heap.
Esto es accesible mediante una imagen NTFS manipulada montada en bucle: abrir el archivo y añadir un atributo (por ejemplo, a través de setxattr) activa ntfs_set_ea() -> ni_insert_resident() -> ni_insert_attr() -> ni_ins_attr_ext() -> ni_create_attr_list().
BUG: KASAN: escritura fuera de límites en slab en ni_create_attr_list+0xc48/0x1058 Escritura de tamaño 4 en la dirección ffff000008984c00 por parte de la tarea setfattr/345 ni_create_attr_list+0xc48/0x1058 ni_ins_attr_ext+0x510/0x7c0 ni_insert_attr+0x3f8/0x70c ni_insert_resident+0xc8/0x3b0 ntfs_set_ea+0x66c/0xd28 ntfs_setxattr+0x4d8/0x5b0 __arm64_sys_setxattr+0xa4/0x124 Asignado por la tarea 345: ni_create_attr_list+0x188/0x1058 La dirección defectuosa pertenece a la caché kmalloc-1k de tamaño 1024 (la escritura cae en object+1024).
Dimensionar el búfer basándose en los atributos reales en lugar de asumir que un único record_size es siempre suficiente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.