原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。udf_load_vat()は、udf: VATヘッダーの長さをVAT inodeサイズと照合して検証する関数ですが、ディスク上のVAT 2.0ヘッダーから仮想パーティションの開始オフセットをVAT inodeサイズと照合せずに直接取得しています。map-＞s_type_specific.s_virtual.s_start_offset = le16_to_cpu(vat20-＞lengthHeader);map-＞s_type_specific.s_virtual.s_num_entries = (sbi-＞s_vat_inode-＞i_size - map-＞s_type_specific.s_virtual.s_start_offset) ＞＞ 2;lengthHeaderは攻撃者が完全に制御可能な16ビットの値であり、これがVAT inodeサイズを超えると、s_num_entriesの減算がアンダーフローし非常に大きな値になります。その結果、udf_get_pblock_virt15()内の「block ＞ s_num_entries」という境界チェックを回避してしまいます。ICBインラインパス上では、この関数は ((__le32 *)(iinfo-＞i_data + s_start_offset))[block] を読み込むため、大きなs_start_offsetがinodeのICB内データ領域を超えてアクセスすることになります。仮想（VAT）パーティションを持つ細工されたUDFイメージをマウントすると、境界外読み取りが発生します。この脆弱性に対して、VATヘッダーの長さが少なくとも1つのエントリをVAT inode内に収める余裕を持たない場合は、そのVATを拒否するように修正しました。