CVE-2026-13478

Zephyr ext2 fayl sistemi drayveri, ext2_init_fs() (subsys/fs/ext2/ext2_impl.c) funksiyasındakı diskdəki blok bitxəritəsini (block bitmap), fs_blocks = s_blocks_count - s_first_data_block dəyərini ext2_bitmap_count_set() funksiyasına ötürməklə yoxlayır. Həmin köməkçi funksiya (subsys/fs/ext2/ext2_bitmap.c) arqumenti bitlərin sayı kimi qəbul edir və hər səkkiz bit üçün bir bitxəritə baytı oxuyur, lakin bitxəritə buferi (BGROUP_BLOCK_BITMAP) yalnız fs->block_size baytlıq tək bir gətirilmiş blokdur (tutumu fs->block_size * 8 bitdir). s_blocks_count və s_first_data_block dəyərləri superblokdan olduğu kimi götürülür və heç vaxt bu tək qrup tutumuna görə məhdudlaşdırılmır; ext2_verify_disk_superblock() funksiyası magic, reviziya və blok ölçüsü sürüşməsini (block-size shift) yoxlayır, lakin blok sayını yoxlamır. Həddindən artıq böyük s_blocks_count (maksimum 4096 baytlıq blok / 32768 bitlik bitxəritəyə qarşı təxminən 4 milyarda qədər) olan xüsusi hazırlanmış ext2 imici, ext2_bitmap_count_set() funksiyasının bitxəritə blokundan sonra təxminən 512 MB yaddaşı skan etməsinə səbəb olur — bu, statik blok slabinin və bitişik yaddaşın geniş həcmdə sərhədlərdən kənar oxunmasına (out-of-bounds read) gətirib çıxarır. Bu qüsur mount prosesi zamanı baş verir: ext2_init_fs() funksiyası qeydiyyatdan keçmiş .mount əməliyyatı olan ext2_mount() (subsys/fs/ext2/ext2_ops.c) vasitəsilə çağırılır. Hücumkeş tərəfindən təqdim edilmiş ext2 imicini (çıxarıla bilən media, disk/flash bölməsi və ya yüklənmiş imic) mount edən istənilən yol bunu tetikləyir. Kərnel imtiyazlarına malik parser hücumkeş tərəfindən idarə olunan məlumatlarla işlədiyi üçün, etibarsız ext2 medianın mount edilə bildiyi hər yerdə bu boşluqdan istifadə mümkündür. Təsir yalnız sərhədlərdən kənar oxuma ilə məhdudlaşır: nəticədə alınan bit sayı daxili şəkildə müqayisə edilir və mount rədd edilir, buna görə də hücumkeş tərəfindən idarə olunan baytlar geri qaytarılmır (faydalı məlumat sızıntısı deyil). Təxminən 512 MB-lıq həddindən artıq oxuma çox güman ki, xəritələnməmiş və ya MPU ilə qorunan sərhədi aşacaq və sistem xətası verərək sistemi çökdürəcək — bu, tək bir yanlış formalaşdırılmış imicin mount edilməsi ilə tetiklenen xidmətdən imtina (denial of service) halıdır. Düzəliş, skan başlamazdan əvvəl fs_blocks dəyəri fs->block_size * 8 limitini aşan bütün imicləri rədd edir.