CVE-2026-89492

W jądrze Linuksa usunięto następującą lukę:

ocfs2: sprawdzanie liczby wpisów indeksu katalogu podczas odczytywania metadanych

ocfs2_validate_dx_leaf() i ocfs2_validate_dx_root() sprawdzają ECC i
podpis bloku katalogów indeksowanych, zanim osiągnie on wyższy poziom
wywołujących, ale żaden z walidatorów nie ogranicza liczby ocfs2_dx_entry_list
względem pojemności bloku, który je przechowuje.

ocfs2_dx_dir_search() następnie idzie

for (i = 0; i < le16_to_cpu(entry_list->de_num_used); i++)
dx_entry = &entry_list->de_entries[i];

ponad de_num_used wpisów bez sprawdzania granic. lista_wpisów jest albo
dx_leaf->dl_list (z ocfs2_read_dx_leaf) lub, w przypadku wbudowanego katalogu głównego,
dx_root->dr_entries. Stworzony obraz na dysku może ustawić de_num_used (i
de_count, czyli granica __counted_by_le() de_entries) do 0xffff
i spraw, aby spacer był czytany daleko poza koniec bloku metadanych o wielkości 4 KB, dając
płyta poza granicami, którą można odczytać z dowolnego wyszukiwania ścieżki, stat() lub open()
w indeksowanym katalogu po zamontowaniu obrazu.

Zatwierdź 775c17386a6f („ocfs2: sprawdź pola listy zakresów katalogu głównego dx podczas
block read”) już ogranicza dr_list dla nieinline dx_root, ale pozostało
wbudowana ścieżka dr_entries i niezaznaczona ścieżka dx_leaf dl_list. Dodaj
ta sama walidacja czasu odczytu dla obu list wpisów: de_count musi być równe
pojemność bloku (ocfs2_dx_entries_per_leaf()/per_root()) i
de_num_used nie może przekraczać de_count, odrzucając uszkodzone metadane
-EFSCORRUPTED zanim ocfs2_dx_dir_search() będzie mogła przejść przez wpis spoza zakresu
tablica.

de_count jest zawsze zapisywane dokładnie jako pojemność bloku, gdy liść lub
wbudowany katalog główny jest sformatowany, więc kontrola równości nie odrzuca żadnego prawidłowego
obraz.

Znalezione przez 0sec zautomatyzowane narzędzie do badania bezpieczeństwa (https://0sec.ai).