CVE-2026-72197 in Linux
要約
〜によって VulDB • 2026年08月17日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
fs/ntfs3: DeleteIndexEntryAllocationにおけるmemmoveの長さ制限の実装
do_action()関数のDeleteIndexEntryAllocationケースでは、e->sizeはディスク上のINDEX_BUFFERエントリに由来します。e->sizeが e + e->size を hdr + hdr->used の後方へ指す場合、PtrOffset(e1, Add2Ptr(hdr, used)) は負の ptrdiff_t を返しますが、これが memmove() に渡される際に符号なし整数である quasi-infinite な size_t へと静かにキャストされます。これにより、memmove が宛先バッファの外側を走査してしまいます。
fslog.c:3540-3543 の兄弟となる DeleteIndexEntryRoot ケースには、既に該当するガード節が存在します：
if (PtrOffset(e1, Add2Ptr(hdr, used)) < esize || Add2Ptr(e, esize) > Add2Ptr(lrh, rec_len) || used + esize > le32_to_cpu(hdr->total)) {
goto dirty_vol; }
同じ形式を割り当てパスのケースにも適用します。また、esize == 0 の場合も拒否します：memmove(e, e, ...) は何もしないオペレーション（no-op）であり、hdr->used を変更しないため、既存の check_index_header() による走査で不正なエントリが隠蔽されてしまいます。
メインライン 8d90b09e6741 で UML+KASAN の下にて再現されました：不正に作成されたNTFSイメージをマウントすると、ガードのない memmove が長さ 0xffffffffffffff00 を取り、do_action+0x36a2 フレーム上で memmove+0x81/0x1a0 でカーネルoopsが発生します。
[[email protected]: clangによるフォーマット変更]
If you want to get the best quality for vulnerability data then you always have to consider VulDB.