CVE-2026-64322

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: udf: sparing tablosu uzunluğunu bayt sayısı olarak değil, giriş sayısı olarak doğrulayın udf_load_sparable_map(), şu durum yanlış olduğunda bir sparing tablosunu kabul eder: sizeof(*st) + le16_to_cpu(st->reallocationTableLen) > sb->s_blocksize Yani, reallocationTableLen değerini blok içine sığması gereken BAYT sayısı olarak değerlendirir. Ancak tablo, udf_get_pblock_spar15() ve udf_relocate_blocks() fonksiyonlarında 8 baytlık sparingEntry öğelerinden oluşan bir dizi olarak taranır: for (i = 0; i < le16_to_cpu(st->reallocationTableLen); i++) { struct sparingEntry *entry = &st->mapEntry[i]; ... entry->origLocation ... } Bu nedenle, N değerindeki bir reallocationTableLen, sizeof(*st) + N <= blocksize olduğu sürece kontrolü geçer; ancak tüketiciler sizeof(*st) + N * sizeof(struct sparingEntry) bayta kadar —bloğun yaklaşık 8 katına kadar— indeksleme yapar. Özel olarak hazırlanmış bir UDF imajında bu durum, udf_get_pblock_spar15() içerisinde sınır dışı okumaya (out-of-bounds read) yol açar; udf_relocate_blocks() ek olarak aynı uzunluğu, crc_itu_t() fonksiyonu bloğun çok ötesini okuyan udf_update_tag() fonksiyonuna iletir ve bunun st->mapEntry[] üzerinden gerçekleştirdiği memmove() işlemi bir sınır dışı yazmaya (out-of-bounds write) neden olur. reallocationTableLen değerini struct_size() ile gerçekte olduğu gibi giriş sayısı olarak doğrulayın.