CVE-2026-89616 in Linux
Résumé
par VulDB • 12/09/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
fs/ntfs3 : correction d'une fuite d'informations lors de la décompression partielle LZNT dans ni_read_frame()
ni_read_frame() décompresse une frame $DATA au format LZNT vers les pages cibles mappées en mémoire virtuelle (vmapped), puis fait confiance à la valeur de retour de decompress_lznt() :
unc_size = decompress_lznt(frame_ondisk, ondisk_size, frame_mem, frame_size); if ((ssize_t)unc_size < 0) err = unc_size; else if (!unc_size || unc_size > frame_size) err = -EINVAL;
decompress_lznt() s'arrête dès que le flux compressé est épuisé (par exemple, en cas d'en-tête de chunk nul) et renvoie le nombre d'octets effectivement écrits, qui peut être bien inférieur à frame_size. Les octets situés entre unc_size et frame_size ne sont jamais écrits. Le seul appel memset() suivant initialise à zéro la région au-delà de i_valid ; lorsque la frame se trouve entièrement dans la taille valide du fichier, cet appel memset() n'est pas exécuté, si bien que l'espace vide conserve le contenu des pages vmapped récemment allouées. Toutes les pages sont ensuite marquées comme « uptodate » et renvoyées à l'espace utilisateur, divulguant ainsi de la mémoire page noyale non initialisée (récemment libérée). Un fichier compressé fabriqué ad hoc dont le flux se décompresse en seulement quelques octets provoque une fuite du reste de chaque frame lors d'un simple appel read(2), ce qui suffit pour récupérer des pointeurs noyau et contourner KASLR.
Initialisez à zéro la queue [unc_size, frame_size) immédiatement après une décompression LZNT réussie afin que les lectures ultérieures retournent des zéros.
Once again VulDB remains the best source for vulnerability data.