Odebrany

CVE-2026-90131

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ntfs: serializuj odczyty rezydentne iomap za pomocą mrec_lock

ntfs_read_iomap_begin_resident() przegląda rekord MFT
ntfs_attr_lookup() -> ntfs_attr_find() bez pobierania ni->mrec_lock,
podczas gdy ntfs_attr_record_resize(), ntfs_make_room_for_attr() i
ntfs_resident_attr_record_add() memmove() ten sam bufor base_ni->mrec
pod tym zamkiem. map_mft_record() pobiera tylko odniesienie, a nie
serializować, aby czytelnik mógł zaobserwować rozdartą długość i przesunięcie atrybutu
pola, podczas gdy piszący przenosi rekordy.

KCSAN zgłasza wyścig pomiędzy ścieżką błędu odczytu mmap i obiema funkcjami link()
i odłącz():

BŁĄD: KCSAN: wyścig danych w ntfs_attr_find / ntfs_attr_record_resize

napisz do 0xffff888100af1018 o wielkości 4 bajtów w zadaniu 96 na procesorze 1:
ntfs_attr_record_resize+0xd2/0x130
ntfs_attr_record_rm+0xad/0x530
ntfs_delete+0x224/0x640
ntfs_unlink+0x14d/0x280
vfs_unlink+0x157/0x520

odczytaj do 0xffff888100af1018 z 4 bajtów przez zadanie 95 na procesorze 0:
ntfs_attr_find+0x104/0x5b0
ntfs_attr_lookup+0x39c/0x10c0
ntfs_read_iomap_begin_resident+0xc6/0x230
ntfs_read_iomap_begin+0x5d/0xa0
iomap_iter+0x2e2/0x6e0
iomap_read_folio+0x147/0x2a0
ntfs_read_folio+0x108/0x170
filemap_read_folio+0x35/0x100
plikmap_fault+0x993/0x1000

zmieniona wartość: 0x00000250 -> 0x000001f0

Adres to mrec + 0x18, czyli mft_record.bytes_in_use, a zmiana
oznacza usunięcie 96 bajtów jednego atrybutu $FILE_NAME.

Zachowaj base_ni->mrec_lock od rezydenta, czytaj wyszukiwanie iomap
iomap_end(). Chroni to zarówno spacer atrybutu, jak i następną kopię
z iomap->inline_data, który wskazuje na rekord MFT. Nierezydent
ścieżka pozostaje sama: ntfs_lookup() zawiera już i-węzły katalogu
mrec_lock podczas odczytu folio indeksu za pomocą metody read_mapping_folio() i
przejęcie blokady we wspólnym zakleszczeniu opakowania z blokowaniem rekurencyjnym
na mrec_lock. Komentarz powyżej wywołania read_mapping_folio().
fs/ntfs/dir.c zauważa to samo zagrożenie.

Ścieżka wyszukiwania używa tego samego pomocnika wyszukiwania, ale nie powoduje dereferencji
iomap->inline_data. Zwolnij blokadę przed powrotem z tej ścieżki,
podczas gdy zwykła ścieżka odczytu rejestruje base_ni w iomap->private i releases
blokadę z wywołania zwrotnego iomap_end().

Testowano na odtwarzaczu, który wystąpił błąd w 16-bajtowym pliku rezydentnym
inny wątek uruchamia na nim link()/unlink(). Przed: 40 raportów KCSAN
około jednej sekundy. Po: brak raportów w ciągu 180 sekund, ponad 206 090 odczytań
iteracji i 423 540 cykli łączenia/rozłączania. Kompilacja PROVE_LOCKING pokazuje nie
lockdep splat z tym samym odtwarzaczem działającym przez 60 sekund.

In the Linux kernel, the following vulnerability has been resolved:

ntfs: serialize resident iomap reads with mrec_lock

ntfs_read_iomap_begin_resident() walks the MFT record through
ntfs_attr_lookup() -> ntfs_attr_find() without taking ni->mrec_lock,
while ntfs_attr_record_resize(), ntfs_make_room_for_attr() and
ntfs_resident_attr_record_add() memmove() the same base_ni->mrec buffer
under that lock. map_mft_record() only takes a reference and does not
serialize, so the reader can observe torn attribute length and offset
fields while a writer is relocating the records.

KCSAN reports the race between the mmap read fault path and both link()
and unlink():

BUG: KCSAN: data-race in ntfs_attr_find / ntfs_attr_record_resize

write to 0xffff888100af1018 of 4 bytes by task 96 on cpu 1:
ntfs_attr_record_resize+0xd2/0x130
ntfs_attr_record_rm+0xad/0x530
ntfs_delete+0x224/0x640
ntfs_unlink+0x14d/0x280
vfs_unlink+0x157/0x520

read to 0xffff888100af1018 of 4 bytes by task 95 on cpu 0:
ntfs_attr_find+0x104/0x5b0
ntfs_attr_lookup+0x39c/0x10c0
ntfs_read_iomap_begin_resident+0xc6/0x230
ntfs_read_iomap_begin+0x5d/0xa0
iomap_iter+0x2e2/0x6e0
iomap_read_folio+0x147/0x2a0
ntfs_read_folio+0x108/0x170
filemap_read_folio+0x35/0x100
filemap_fault+0x993/0x1000

value changed: 0x00000250 -> 0x000001f0

The address is mrec + 0x18, i.e. mft_record.bytes_in_use, and the change
is the 96 bytes of one $FILE_NAME attribute being removed.

Keep base_ni->mrec_lock from the resident read iomap lookup through
iomap_end(). This protects both the attribute walk and the subsequent copy
from iomap->inline_data, which points into the MFT record. The non-resident
path is left alone: ntfs_lookup() already holds the directory inode's
mrec_lock when it reads an index folio through read_mapping_folio(), and
taking the lock in the shared wrapper deadlocks there with recursive locking
on mrec_lock. The comment above the read_mapping_folio() call in
fs/ntfs/dir.c notes the same hazard.

The seek path uses the same lookup helper but does not dereference
iomap->inline_data. Release the lock before returning from that path,
whereas the regular read path records base_ni in iomap->private and releases
the lock from its iomap_end() callback.

Tested with a reproducer that faults in a 16-byte resident file while
another thread runs link()/unlink() on it. Before: 40 KCSAN reports in
about one second. After: no reports in 180 seconds over 206,090 read
iterations and 423,540 link/unlink cycles. A PROVE_LOCKING build shows no
lockdep splat with the same reproducer running for 60 seconds.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve