CVE-2026-72192

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: ntfs3: hdr_insert_head öncesinde indx_insert_into_root içindeki to_move sınırlandırıldı indx_insert_into_root(), dolu bir yerleşik $INDEX_ROOT'u $INDEX_ALLOCATION'a yükseltir ve son olmayan tüm yerleşik kök girdilerini hdr_insert_head() aracılığıyla yeni tahsis edilen bir INDEX_BUFFER'a kopyalar. Kaynak bayt sayısı 'to_move', disk üzerindeki yerleşik girdi boyutlarından toplanır ve hedef arabellek boyutundan bağımsızdır; hedef arabellek boyutu root->index_block_size değerinden (indx->index_bits aracılığıyla) gelir. Geçerli ve dolu bir yerleşik kökü koruyan ancak kök doldurulduktan sonra root->index_block_size değerini 512'ye küçülten özel olarak hazırlanmış bir NTFS imajı, hdr_insert_head() içindeki memcpy'nin saldırgan tarafından kontrol edilen yerleşik girdi baytlarını indx_new() tarafından döndürülen kmalloc(1u << indx->index_bits) tahsisinin sonunu aşarak kopyalamasına neden olur. 512 baytlık bir hedef ve son olmayan girdileri toplam 560 bayt olan bir yerleşik kök için memcpy 120 bayt taşar ve ardından gelen bir memmove en yüksek yazılan uzaklığı tahsisin 136 bayt ötesine genişletir. Taşan baytlar, disk üzerindeki girdilerin doğrudan bir kopyasıdır (kmemdup aracılığıyla), dolayısıyla tamamen saldırgan tarafından kontrol edilir. Yazma işlemine, bağlanmış özel olarak hazırlanmış bir NTFS imajı üzerinde ayrıcalıksız open(O_CREAT) çağrısıyla erişilebilir: yerleşik kökü zaten dolu olan bir dizinde yeterince uzun tek bir oluşturma işlemi kök yükseltmesini zorlar ve kopyalamayı tetikler. Bu, kmalloc(index_block_size) tahsisinin 120-136 bayt ötesine, saldırgan tarafından kontrol edilen içerikle gerçekleşen kontrollü bir sınır dışı yazma işlemidir. Sınırlı bir bitişik yığın bozma ilkelidir; rastgele adrese yazma değildir. Adlandırılmış bir hedef nesneye başarılı sömürü, çevredeki slab düzenine bağlıdır. Kopyalamayı hedefte reddedin. Hedefin INDEX_HDR'si zaten hdr_total (yeni arabelleğin yük kapasitesi) ve hdr_used (indx_new() tarafından yerleştirilen terminal END girdisi tarafından zaten tüketilen baytlar) değerlerini bildirir; hdr_insert_head() çağrılmadan önce to_move değerinin kalan yüke sığdığını doğrulayın. Uyuşmazlık durumunda -EINVAL ile başarısız olun ve dosya sistemini disk üzerinde bir tutarsızlık tespit edilmiş olarak işaretleyin; bu, bu işlevdeki çevredeki doğrulamayla aynı davranıştır.