Odebrany

CVE-2026-89767

opublikowano: 11.09.2026, 22:20

modyfikacja: 11.09.2026, 22:20

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ovl: napraw funkcję double end_creating() na ścieżce niezgodności składania

ovl_create_real() uwalnia nową wersję dwukrotnie po złożeniu sprawy
kontrola spójności kończy się niepowodzeniem. Gałąź S_IFDIR wywołuje funkcję end_creating() i
ustawia err, a następnie przechodzi do zwykłego out: label, który wywołuje
end_creating() ponownie na tym samym dentrze:

przypadek S_IFDIR:
newdentry = ovl_do_mkdir(ofs, dir, newdentry, attr->mode);
err = PTR_ERR_OR_ZERO(nowydentry);
if (!err && ofs->casefold != ovl_dentry_casefolded(newdentry)) {
pr_warn_ratelimited(...);
end_creating(newdentry); /* pierwszy */
błąd = -EINVAL;
}
przerwa;
...
jeśli (błąd)
wyjść;
...
wyjście:
jeśli (błąd) {
end_creating(newdentry); /* drugi, ten sam ząb */
zwróć ERR_PTR(błąd);
}

end_creating() to end_dirop(), która wykonuje funkcję inode_unlock() na obiekcie nadrzędnym
i dput() na dentry, więc i_rwsem katalogu nadrzędnego jest odblokowane
dwa razy i zęby zakłada się dwukrotnie. Drugie odblokowanie zwalnia blokadę
tego się nie trzyma i to właśnie klinuje pod tym każde późniejsze dzieło
rodzic, a druga metoda dput() usuwa referencję, która nigdy nie została wykorzystana.

Gałąź została dodana przez zatwierdzenie dfc7da402ccc („ovl: Sprawdź, czy nie ma folderu
spójność przy tworzeniu nowych zębów”) jako nagą funkcję dput(), która już
dwukrotnie opublikował odniesienie; zatwierdzić fe497f0759e0 („VFS: zmień
vfs_mkdir(), aby odblokować w przypadku niepowodzenia.”) przekonwertował obie witryny na
end_creating(), dodając podwójne odblokowanie.

Jest to osiągalne dla nieuprzywilejowanego użytkownika. Konsystencja składana
warstwy są sprawdzane w czasie montowania w ovl_parse_layer() i ponownie
każde wyszukiwanie w ovl_lookup_single(), ale ofs->workdir jest wewnętrznym
podkatalog „work” utworzony w katalogu roboczym dostarczonym przez użytkownika i to
podkatalog nie jest ponownie sprawdzany. Oznaczenie go jako złożonego po zamontowaniu
dlatego każda funkcja ovl_create_temp() dziedziczy nieprawidłowy stan - i
ta ścieżka dochodzi do ovl_create_real() poprzez ovl_start_creating_temp(),
która używa start_creating() z wygenerowaną nazwą i dlatego nigdy nie uruchamia funkcji
kontrola czasu wyszukiwania.

przestań udostępniać -Urm
mount -t tmpfs -o casefold=utf8-12.1.0 tmpfs mnt
mkdir -p mnt/dolny/d mnt/górny mnt/work mnt/scalony
mount -t nakładka ovl -o dolny katalog=mnt/niższy,\
górny katalog=mnt/górny, katalog_pracy=mnt/mnt_pracy/scalony
chattr +F mnt/praca/praca
mkdir mnt/merged/d/sub # kopiowanie katalogu

overlayfs: błędna odziedziczona rozkładówka (praca/#5)

a następna kopia blokuje się na zawsze w i_rwsem rodzica:

mkdir D start_creating+0x65/0xb0
ovl_start_creating_temp+0xb0/0xe0 [nakładka]
ovl_create_temp+0xa3/0x1d0 [nakładka]
ovl_copy_up_one+0x1f1c/0x21c0 [nakładka]
ovl_copy_up_flags+0xf5/0x140 [nakładka]
ovl_create_object+0xb7/0x220 [nakładka]
ovl_mkdir+0x23/0x40 [nakładka]

Upuść funkcję end_creating() z gałęzi i wyślij polecenie: bądź właścicielem czyszczenia,
co już robi każda inna ścieżka błędu w tej funkcji.

In the Linux kernel, the following vulnerability has been resolved:

ovl: fix double end_creating() on the casefold-mismatch path

ovl_create_real() releases the new dentry twice when the casefold
consistency check fails. The S_IFDIR branch calls end_creating() and
sets err, then falls through to the common out: label which calls
end_creating() on the same dentry again:

case S_IFDIR:
newdentry = ovl_do_mkdir(ofs, dir, newdentry, attr->mode);
err = PTR_ERR_OR_ZERO(newdentry);
if (!err && ofs->casefold != ovl_dentry_casefolded(newdentry)) {
pr_warn_ratelimited(...);
end_creating(newdentry); /* first */
err = -EINVAL;
}
break;
...
if (err)
goto out;
...
out:
if (err) {
end_creating(newdentry); /* second, same dentry */
return ERR_PTR(err);
}

end_creating() is end_dirop(), which does inode_unlock() on the parent
and dput() on the dentry, so the parent directory's i_rwsem is unlocked
twice and the dentry is put twice. The second unlock releases a lock
that is not held, which is what wedges every later creation under that
parent, and the second dput() drops a reference that was never taken.

The branch was added by commit dfc7da402ccc ("ovl: Check for casefold
consistency when creating new dentries") as a bare dput(), which already
released the reference twice; commit fe497f0759e0 ("VFS: change
vfs_mkdir() to unlock on failure.") converted both sites to
end_creating(), adding the double unlock.

This is reachable by an unprivileged user. The casefold consistency of
the layers is validated at mount time in ovl_parse_layer(), and again on
every lookup in ovl_lookup_single(), but ofs->workdir is the internal
"work" subdirectory created inside the user-supplied workdir, and that
subdirectory is not re-checked. Marking it casefolded after the mount
therefore makes every ovl_create_temp() inherit the wrong state - and
that path reaches ovl_create_real() through ovl_start_creating_temp(),
which uses start_creating() with a generated name and so never runs the
lookup-time check.

unshare -Urm
mount -t tmpfs -o casefold=utf8-12.1.0 tmpfs mnt
mkdir -p mnt/lower/d mnt/upper mnt/work mnt/merged
mount -t overlay ovl -o lowerdir=mnt/lower,\
upperdir=mnt/upper,workdir=mnt/work mnt/merged
chattr +F mnt/work/work
mkdir mnt/merged/d/sub # directory copy-up

overlayfs: wrong inherited casefold (work/#5)

and the next copy-up blocks forever on the parent's i_rwsem:

mkdir D start_creating+0x65/0xb0
ovl_start_creating_temp+0xb0/0xe0 [overlay]
ovl_create_temp+0xa3/0x1d0 [overlay]
ovl_copy_up_one+0x1f1c/0x21c0 [overlay]
ovl_copy_up_flags+0xf5/0x140 [overlay]
ovl_create_object+0xb7/0x220 [overlay]
ovl_mkdir+0x23/0x40 [overlay]

Drop the end_creating() from the branch and let out: own the cleanup,
which is what every other error path in this function already does.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve