原文

Linuxカーネルにおいて、以下の脆弱性が解消されました。fs/ntfs3のlog_replayのcopy_lcnsにおけるDirty Page Table容量の検証に関する問題です。$LogFileジャーナル再生の解析パスにおいて、log_replay()は各アクションログレコードからLCNを既存のDirty Page Table（DPT）エントリへ、宛先インデックスの制限なくコピーしていました。DPTエントリのlcns_followが1で、アクションログレコードのlcns_followが2の細工されたNTFSイメージは、マウント時にカーネルスラブの境界外書き込みを発生させます。具体的には、BUG: KASAN: slab-out-of-bounds in log_replay+0x654c/0xdb60というエラーが発生し、サイズ8の書き込みがアドレスffff8880095e1040にてtask mountによって実行されました。2つの攻撃者制御可能なフィールドが、j+iを割り当て済みのpage_lcns[]配列の範囲外にまで進める原因となっています。1つ目はdp-＞lcns_follow（容量）がlrh-＞lcns_followより小さい場合、2つ目はlrh-＞target_vcnがdp-＞vcnより小さい場合にu64の減算が巨大なsize_tへラップアラウンドすることです。ターゲットVCNのデルタおよびレコード毎のLCN数をDPTエントリの容量と照合し、不正があれば既存のout: cleanupラベル経由で-EINVALを返して処理を中断します。これはコミットb2bc7c44ed17（"fs/ntfs3: DeleteIndexEntryRootにおけるスラブ境界外読み取りの修正"）およびコミット0ca0485e4b2e（"fs/ntfs3: ジャーナル再生ファイルレコードチェックにおけるrec-＞usedの検証"）で追加された境界チェックパターンを反映しています。