CVE-2026-89720

W jądrze Linuksa usunięto następującą lukę:

ubifs: napraw błędy odczytane poza granicami podczas sprawdzania długości podpisu

ubifs_sb_verify_signature() ogranicza pole ubifs_sig_node->len na dysku
przed przekazaniem ładunku podpisu do funkcji Verify_pkcs7_signature(), ale plik
sprawdzenie ma zły znak:

if (le32_to_cpu(signode->len) > snod->len + sizeof(struct ubifs_sig_node))

Bajty podpisu zaczynają się od sizeof(struct ubifs_sig_node) (UBIFS_SIG_NODE_SZ,
64 bajty) do węzła, więc ładunek wynosi co najwyżej

snod->len - sizeof(struct ubifs_sig_node)

bajtów długości. Dodanie rozmiaru nagłówka zamiast jego odejmowania akceptuje a
deklarowana długość do 2 * UBIFS_SIG_NODE_SZ większa niż faktycznie węzeł
trzyma -- za końcem c->sbuf, czyli vmalloc(c->leb_size).
zweryfikować_pkcs7_signature() -> pkcs7_parse_message() -> asn1_ber_decoder()
jest następnie przekazywany tej zawyżonej długości i odczytuje poza alokacją while
poruszanie się po nagłówkach DER. Długość węzła pochodzi bezpośrednio z zamontowanego
image, więc spreparowany podpisany obraz UBIFS dociera do tego poprzez
ubifs_read_superblock() przed kryptograficznym sprawdzeniem podpisu.

Skaner węzłów gwarantuje, że snod->len będzie >= UBIFS_SIG_NODE_SZ
(c->zakresy[UBIFS_SIG_NODE].min_len == UBIFS_SIG_NODE_SZ), więc poprawiony
odejmowanie nie może być niedostateczne. Nie ma to wpływu na legalnie podpisane obrazy: a
poprawny superblok nigdy nie deklaruje podpisu dłuższego niż węzeł, którym jest
osadzony w.