CVE-2026-64567

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: btrfs: sayfalardan daha fazla girişe sahip boş alan önbelleğini reddet Bir v1 boş alan önbelleği yüklenirken, __load_free_space_cache() fonksiyonu num_entries ve num_bitmaps değerlerini doğrudan diskteki btrfs_free_space_header üzerinden alır. Bu başlık, tree_root altında tip 0 olan bir anahtarla saklanır ve ağaç denetleyicisinin (tree-checker) bunun için tanımlanmış bir durumu yoktur; bu nedenle yükleme işlemi güvenmeden önce her iki sayı da doğrulanmaz. Yükleme işlemi num_entries kadar döngüye girer ve mevcut sayfa tükendiğinde sıradaki sayfayı eşler; bu işlem sırasında io_ctl_check_crc() -> io_ctl_map_page() üzerinden geçilir ve burada io_ctl->pages[io_ctl->index++] işlemi gerçekleştirilir. Ancak pages[] dizisi, io_ctl_init() içerisinde num_entries değerinden değil, önbellek inode'unun i_size değerinden tahsis edilir: num_pages = DIV_ROUND_UP(i_size_read(inode), PAGE_SIZE); io_ctl->pages = kcalloc(num_pages, sizeof(struct page *), GFP_NOFS); Dolayısıyla, eğer num_entries sayfaların tutabileceğinden daha fazla kayıt beyan ederse, io_ctl->index değeri pages[] dizisinin sınırlarını aşar. Yazma tarafında io_ctl_add_entry() ve io_ctl_add_bitmap() fonksiyonlarının her ikisi de io_ctl->index >= io_ctl->num_pages olduğunda durduğu için bu durum asla gerçekleşmez; ancak okuma tarafında aynı kontrol hiçbir zaman yapılmamıştır. Bu durumu tetiklemek için temiz bir önbellek alınır (burada num_entries = <N>), başlıktaki num_entries değeri 0x10000 olarak ayarlanır ve yaprak sağlama toplamı (leaf checksum), ağaç denetleyicisinden geçmeye devam edecek şekilde düzeltilir. Önbellek inode'u i_size = 65536 değerine sahiptir, dolayısıyla num_pages 16 olur ve pages[] 16 işaretçili (kmalloc-128) bir dizidir. Yükleme işlemi artık 65536 giriş okumaya çalışır, io_ctl->index 16'ya kadar çıkar ve pages[16] okunarak dizi sınırları aşılır: BUG: KASAN: slab-out-of-bounds in io_ctl_check_crc (fs/btrfs/free-space-cache.c:420 fs/btrfs/free-space-cache.c:565) Read of size 8 at addr ffff88800c833a80 by task kworker/u8:3/58 io_ctl_check_crc (fs/btrfs/free-space-cache.c:420 fs/btrfs/free-space-cache.c:565) __load_free_space_cache (fs/btrfs/free-space-cache.c:655 fs/btrfs/free-space-cache.c:820) load_free_space_cache (fs/btrfs/free-space-cache.c:1017) caching_thread (fs/btrfs/block-group.c:880) btrfs_work_helper (fs/btrfs/async-thread.c:312) process_one_work worker_thread kthread ret_from_fork free-space-cache.c:420 satırı, 565. satırdaki io_ctl_check_crc() içerisine gömülmüş (inline) olan io_ctl_map_page() fonksiyonudur; KASAN'ın bu çerçeveyi adlandırmasının nedeni budur. Sınır dışındaki yuva daha sonra bir struct page olarak işlenir ve crc32c() fonksiyonuna iletilir, böylece hatalı okuma bir GP hatasına dönüşür. Hem giriş döngüsünün hem de bitmap döngüsünün sonlandığı yer olan io_ctl_check_crc() fonksiyonuna eksik olan kontrol eklenmiştir. Artık num_entries çok büyük olduğunda, yükleme işlemi herhangi bir bozuk önbellekte olduğu gibi başarısız olur: __load_free_space_cache() bunu düşürür ve boş alanı extent tree üzerinden yeniden oluşturur, böylece geçerli bir önbellek asla reddedilmez.