CVE-2026-97926 in Linux
Riassunto
di VulDB • 25/09/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
ufs: validare i metadati del gruppo di cilindri prima della loro memorizzazione nella cache (caching)
La funzione ufs_read_cylinder() copia l'indice del gruppo di cilindri e le posizioni dei rotori direttamente dal gruppo su disco e li mette in cache senza alcuna verifica preliminare:
ucpi->c_cgx = fs32_to_cpu(sb, ucg->cg_cgx); ucpi->c_rotor = fs32_to_cpu(sb, ucg->cg_rotor); ucpi->c_frotor = fs32_to_cpu(sb, ucg->cg_frotor); ucpi->c_irotor = fs32_to_cpu(sb, ucg->cg_irotor);
Questi valori vengono poi utilizzati come indici durante le operazioni di allocazione e liberazione:
- c_cgx indicizza l'array dei riepiloghi del cilindro tramite UFS_SB(sb)->fs_cs(ucpi->c_cgx), quindi un valore superiore a s_ncg provoca la scrittura di un conteggio a 32 bit al di fuori dell'allocazione di s_csp.
- c_frotor diventa l'inizio della scansione della bitmap: start = c_frotor >> 3, e successivamente length = ((s_fpg + 7) >> 3) - start. Un valore di start superiore alla dimensione della bitmap del blocco provoca il wrapping (avvolgimento) del lunghezza unsigned a un valore enorme, facendo sì che ubh_scanc() esegua la scansione ben oltre i buffer dei gruppi di cilindri. c_irotor guida la bitmap degli inode nello stesso modo.
Un'immagine costruita ad hoc può impostare liberamente uno qualsiasi di questi valori, trasformando una normale operazione di allocazione in un accesso fuori dai limiti (out of bounds access).
Viene rifiutato un gruppo di cilindri il cui indice registrato non corrisponde al gruppo che si sta leggendo, oppure i cui rotori cadono al di fuori del gruppo, prima che i metadati vengano memorizzati nella cache. I filesystem validi mantengono cg_cgx uguale al numero del gruppo e i rotori all'interno dei limiti del gruppo; pertanto, vengono rifiutati solo le immagini non conformi (malformed images).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.