原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。isofsのRock Ridgeにおけるシンボリックリンク（SL）コンポーネントをSLレコード内に拘束する処置が行われました。get_symlink_chunk()関数およびparse_rock_ridge_inode_internal()関数内のSL処理は、Rock Ridgeの"SL"（シンボリックリンク）レコードの可変長コンポーネントを順に読み進めます。各コンポーネントは2バイトのヘッダー（flags, len）とlenバイトのテキストで構成されており、合計でslp-＞len + 2バイトを占めます。両ループはslp-＞lenを読み取り次のコンポーネントに進みますが、get_symlink_chunk()関数はさらにmemcpy(rpnt, slp-＞text, slp-＞len)を実行します。しかし、いずれの関数もコンポーネントがSLレコード内に存在するかを参照前に検証していません。細工されたSLレコードのコンポーネントがレコード(rr-＞len)の範囲を超えて長さ(len)を宣言している場合、最大255バイトの範囲外読み取りが発生する可能性があります。例えば、レコードが小さなkmalloc()で割り当てられた継続ブロックの末尾にある場合（CEレコード経由で辿られる場合など）、読み取りは割り当て領域を越えて行われます。get_symlink_chunk()関数は読み取り済みの範囲外のバイトをreadlink()によりユーザ空間に返すシンボリックリンク本体にコピーしてしまい、隣接するカーネルメモリを漏洩させる恐れがあります。ISO 9660イメージは信頼できないリムーバブルメディアから日常的にマウントされており、デスクトップ環境はCAP_SYS_ADMIN権限なしで自動マウント（例: udisks2経由）を行うため、レコード内容は攻撃者によって制御される可能性があります。レコード内の残りのバイト数に収まらないコンポーネントは利用前に拒否されます。get_symlink_chunk()関数では既存の出力バッファ(plimit)チェックと同様にNULLを返し、不正なレコードの場合はreadlink()が-EIOエラーで失敗するように処理します。parse_rock_ridge_inode_internal()関数ではinodeのサイズ内で走査を停止するように改善されています。