CVE-2026-64322

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: udf: sparing cədvəlinin uzunluğunu bayt sayı kimi deyil, giriş sayı kimi yoxlayın udf_load_sparable_map() funksiyası sparing cədvəlini aşağıdakı şərt yanlış olduqda qəbul edir: sizeof(*st) + le16_to_cpu(st->reallocationTableLen) > sb->s_blocksize yəni o, reallocationTableLen dəyişənini blok daxilinə sığmalı olan BAYT sayı kimi qəbul edir. Lakin cədvəl, udf_get_pblock_spar15() və udf_relocate_blocks() funksiyalarında 8 baytlıq sparingEntry elementlərindən ibarət massiv kimi oxunur: for (i = 0; i < le16_to_cpu(st->reallocationTableLen); i++) { struct sparingEntry *entry = &st->mapEntry[i]; ... entry->origLocation ... } Buna görə də, N qiymətində olan reallocationTableLen, sizeof(*st) + N <= blocksize olduğu hər halda yoxlamadan keçir, lakin istifadəçilər sizeof(*st) + N * sizeof(struct sparingEntry) baytı — blokun təxminən 8 qatı qədər sahəni indeksləyirlər. Xüsusi hazırlanmış UDF obrazında bu, udf_get_pblock_spar15() funksiyasında sərhədlərdən kənar oxumaya (out-of-bounds read) səbəb olur; udf_relocate_blocks() əlavə olaraq eyni uzunluğu udf_update_tag() funksiyasına ötürür ki, onun crc_itu_t() funksiyası blokdan çox uzağa qədər oxuyur və st->mapEntry[] vasitəsilə həyata keçirdiyi memmove() əməliyyatı sərhədlərdən kənar yazmaya (out-of-bounds write) səbəb olur. reallocationTableLen dəyişənini struct_size() ilə real giriş sayı kimi yoxlayın.