CVE-2026-89616

W jądrze Linuksa usunięto następującą lukę:

fs/ntfs3: napraw wyciek informacji o częściowej dekompresji LZNT w ni_read_frame()

ni_read_frame() dekompresuje ramkę LZNT $DATA do zmapowanego vmapowanego celu
stron, a następnie ufa wartości zwracanej przez decompress_lznt():

unc_size = decompress_lznt(frame_ondisk, ondisk_size, ramka_mem,
rozmiar_ramki);
if ((ssize_t)unc_size < 0) err = unc_size;
else if (!unc_size || unc_size > rozmiar_ramki) err = -EINVAL;

decompress_lznt() zatrzymuje się natychmiast po wyczerpaniu skompresowanego strumienia
(np. nagłówek fragmentu zerowego) i zwraca faktyczną liczbę bajtów
napisał, który może być znacznie mniejszy niż rozmiar_ramki. Bajty pomiędzy unc_size
i rozmiar_ramki nigdy nie są zapisywane. Jedyna funkcja memset(), która następuje po zerach
region poza i_valid; gdy ramka leży w całości w pliku
prawidłowy rozmiar, którego memset() nie uruchamia, więc luka zachowuje wszystko, co było
właśnie zmapowane strony. Wszystkie strony są następnie oznaczane jako aktualne i zwracane
do przestrzeni użytkownika, ujawniając niezainicjowaną (ostatnio zwolnioną) stronę jądra
pamięć. Stworzony, skompresowany plik, którego strumień dekompresuje się tylko do kilku
bytes powoduje wyciek pozostałej części każdej ramki podczas zwykłego odczytu (2), czyli
wystarczy, aby odzyskać wskaźniki jądra i pokonać KASLR.

Wyzeruj ogon [unc_size,frame_size) natychmiast po udanym LZNT
zdekompresuj, aby pozostała część odczytała jako zero.