原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。partitions: aix: pp_countによるスキャン範囲をppe配列に制限しました。aix_partition()は物理ボリューム記述子を固定サイズのstruct pvdに読み込み、その物理パーティションエクステント配列をスキャンします。具体的には、int numpps = be16_to_cpu(pvd-＞pp_count); ... for (i = 0; i ＜ numpps; i += 1) { struct ppe *p = pvd-＞ppe + i; ... lp_ix = be16_to_cpu(p-＞lp_ix); }のように動作します。pvdは単一のkmalloc()で確保されたstruct pvdを指しており、そのppe[]メンバは固定サイズのARRAY_SIZE(pvd-＞ppe)（1016）エントリを持っていますが、ループはオンディスクのpp_countまで繰り返します。pp_countは記述子から直接読み込まれる検証されていない__be16であり、pp_countが1016を超えるように細工されたAIXイメージにより、ループは割り当て範囲の末尾を超えてpvd-＞ppe[i]を読み込みます（最大65535エントリ、約2MBの境界外読み取りとなります）。このパーティションスキャンは、ブロックデバイスに細工されたAIX/IBMパーティションテーブルが存在する場合に、マウントせずに実行されます（losetup -Pでアタッチされた攻撃者作成のイメージやudevによる自動スキャンされたデバイス経由で行われます）。msdos_partition() -＞ aix_partition()を通じてこの処理が行われます。また、スキャンをppe[]配列が保持できるエントリ数に制限（クランプ）しました。