原文

Linuxカーネルにおいて、以下の脆弱性が修正されました。udf: sparingテーブルの長さをバイト数ではなくエントリ数として検証します。udf_load_sparable_map()は、次の条件が偽の場合にsparingテーブルを受け入れます。sizeof(*st) + le16_to_cpu(st-＞reallocationTableLen) ＞ sb-＞s_blocksize。つまり、reallocationTableLenをブロックに収まるべきバイト数として扱っています。しかし、このテーブルは8バイトのsparingEntry要素の配列として処理されています。for (i = 0; i ＜ le16_to_cpu(st-＞reallocationTableLen); i++) { struct sparingEntry *entry = &st-＞mapEntry[i]; ... entry-＞origLocation ... }これはudf_get_pblock_spar15()およびudf_relocate_blocks()で行われています。したがって、reallocationTableLenがNの場合、チェックはsizeof(*st) + N ＜= blocksizeを満たす限り通過しますが、実際にはsizeof(*st) + N * sizeof(struct sparingEntry)バイトをインデックス参照しています。これはブロックサイズの約8倍に達します。細工されたUDFイメージでは、udf_get_pblock_spar15()で境界外読み取りが発生し、udf_relocate_blocks()では同じ長さをudf_update_tag()に渡します。udf_update_tag()内のcrc_itu_t()はブロックを大幅に超えて読み取りを行い、st-＞mapEntry[]を介したmemmove()は境界外書き込みとなります。reallocationTableLenを実際のエントリ数としてstruct_size()を用いて正しく検証する必要があります。