原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。ntfs: 無効なindex_blockに対してpost_write_mst_fixup()の呼び出しを回避しました。ntfs_icx_ib_sync_write()はntfs_ib_write()がエラーを返した場合にpost_write_mst_fixup()を呼び出し、書き込み失敗後にバッファを復元しようとします。しかし、ntfs_ib_write()はpre_write_mst_fixup()の検証に失敗すると直ちにエラーを返します。呼び出し元のntfs_icx_ib_sync_write()はあらゆるエラーを「書き込み失敗」と解釈し、ロールバックを必要とすると判断します。そのため、I/Oエラーと検証失敗を区別せずにpost_write_mst_fixup()を呼び出してしまいます。post_write_mst_fixup()はindex_blockの内容が正しいと仮定しているため、境界チェックを行いません。その結果、境界外メモリアクセスが発生します。攻撃者は以下の悪意あるNTFSイメージを作成可能です。 - 大きなindex_block.usa_ofsオフセットがntfs_recordの外側を指すもの - index_block.usa_countが0で整数アンダーフローを引き起こすもの - またはindex_block.usa_countがntfs_recordの実際のセクター数より大きく、境界外アクセスを引き起こすものメモリ破損を報告するKASANのログ例は以下の通りです。 ================================================================== BUG: KASAN: slab-out-of-bounds in post_write_mst_fixup+0x19c/0x1d0 Read of size 2 at addr ffff8881586c9018 by task p/9428 Call Trace: ＜TASK＞ dump_stack_lvl+0x100/0x190 print_report+0x139/0x4ad ? post_write_mst_fixup+0x19c/0x1d0 ? __virt_addr_valid+0x262/0x500 ? post_write_mst_fixup+0x19c/0x1d0 kasan_report+0xe4/0x1d0 ? post_write_mst_fixup+0x19c/0x1d0 post_write_mst_fixup+0x19c/0x1d0 ntfs_icx_ib_sync_write+0x179/0x220 ntfs_inode_sync_filename+0x83d/0x1080 __ntfs_write_inode+0x1049/0x1480 ntfs_file_fsync+0x131/0x9b0 ================================================================== BUG: KASAN: slab-out-of-bounds in post_write_mst_fixup+0x1aa/0x1d0 Write of size 2 at addr ffff8881586c91fe by task p/9428 Call Trace: ＜TASK＞ dump_stack_lvl+0x100/0x190 print_report+0x139/0x4ad ? post_write_mst_fixup+0x1aa/0x1d0 ? __virt_addr_valid+0x262/0x500 ? post_write_mst_fixup+0x1aa/0x1d0 kasan_report+0xe4/0x1d0 ? post_write_mst_fixup+0x1aa/0x1d0 post_write_mst_fixup+0x1aa/0x1d0 ntfs_icx_ib_sync_write+0x179/0x220 ntfs_inode_sync_filename+0x83d/0x1080 __ntfs_write_inode+0x1049/0x1480 ntfs_file_fsync+0x131/0x9b0 ==================================================================post_write_mst_fixup()の呼び出しをntfs_ib_write()に移動しました。ntfs_ib_write()関数は先頭でpre_write_mst_fixup()を呼び出します。index_blockの内容が無効な場合、pre_write_mst_fixup()は失敗し、ntfs_ib_write()はpost_write_mst_fixup()を呼ばずに早期リターンします。