CVE-2026-89720

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: ubifs: imza uzunluk kontrolündeki sınır dışı okuma hatası düzeltildi ubifs_sb_verify_signature() fonksiyonu, imza yükünü verify_pkcs7_signature() fonksiyonuna iletmeden önce disk üzerindeki ubifs_sig_node->len alanını sınırlandırır ancak kontrol yanlış işarete sahiptir: if (le32_to_cpu(signode->len) > snod->len + sizeof(struct ubifs_sig_node)) İmza baytları düğümün sizeof(struct ubifs_sig_node) (UBIFS_SIG_NODE_SZ, 64 bayt) kadar ilerisinde başladığından, yük en fazla şu uzunluktadır: snod->len - sizeof(struct ubifs_sig_node) Üstbilgi boyutunu çıkarmak yerine eklemek, beyan edilen uzunluğun düğümün gerçekte tuttuğundan 2 * UBIFS_SIG_NODE_SZ kadar daha büyük olmasını kabul eder; bu da vmalloc(c->leb_size) olan c->sbuf'ın sonunun ötesine geçer. Ardından verify_pkcs7_signature() -> pkcs7_parse_message() -> asn1_ber_decoder() fonksiyonlarına bu şişirilmiş uzunluk iletilir ve DER üstbilgileri taranırken tahsis edilen alanın ötesinde okuma yapılır. Düğüm uzunluğu doğrudan bağlanan görüntüden geldiği için, özel olarak hazırlanmış imzalı bir UBIFS görüntüsü, imza kriptografik olarak kontrol edilmeden önce ubifs_read_superblock() aracılığıyla buraya ulaşır. snod->len değerinin düğüm tarayıcı tarafından (c->ranges[UBIFS_SIG_NODE].min_len == UBIFS_SIG_NODE_SZ) >= UBIFS_SIG_NODE_SZ olduğu garanti edildiğinden, düzeltilmiş çıkarma işlemi alt taşmaya (underflow) neden olamaz. Meşru şekilde imzalanmış görüntüler etkilenmez: doğru bir süperblok, asla gömülü olduğu düğümden daha uzun bir imza beyan etmez.