CVE-2026-72192
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W jądrze Linux w systemie plików NTFS3 wykryto podatność polegającą na zapisie poza przydzielony bufor podczas przenoszenia wpisów z pełnego katalogu głównego $INDEX_ROOT do nowego bufora indeksu. Atakujący może wykorzystać spreparowany obraz NTFS, aby spowodować kopiowanie danych sterowanych przez atakującego poza przydzieloną pamięć, co prowadzi do uszkodzenia sterty.
Ocena ryzyka
Podatność umożliwia lokalnemu, nieuprzywilejowanemu użytkownikowi (poprzez zamontowanie spreparowanego obrazu NTFS i wykonanie operacji open(O_CREAT)) doprowadzenie do kontrolowanego zapisu poza granicami pamięci, co może skutkować eskalacją uprawnień lub awarią systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie oficjalnej łatki jądra Linux, która dodaje walidację rozmiaru danych przed kopiowaniem w funkcji indx_insert_into_root. Do czasu aktualizacji należy unikać montowania niezaufanych obrazów NTFS.
Inne podatności w Linux kernel
Zobacz wszystkie- CVE-2026-43603Średnie
W sterowniku GPU jądra Linux występuje dereferencja wskaźnika NULL, która może doprowadzić do awarii jądra. Skutkiem może być odmowa usługi (DoS) na dotkniętym systemie.
- CVE-2026-99270Nieznane
W jądrze Linux występuje podatność use-after-free (UAF) w funkcji reqsk_timer_handler(). Gdy migracja gniazda TCP nie powiedzie się w inet_ehash_insert(), kod przechodzi do etykiety no_ownership i natychmiast zwalnia nowy reqsk przez __reqsk_free(), nie zatrzymując wcześniej jego timera, co może prowadzić do UAF.
- CVE-2026-99269Nieznane
W jądrze Linux w schedulerze sched_ext zadanie może znajdować się w nie-lokalnej kolejce DSQ, podczas gdy CPU, które je wysłało, wciąż wykonuje ops.dequeue() i nie wyczyściło flagi SCX_OPSS_DISPATCHING. Ścieżki konsumpcji i przenoszenia DSQ nie czekają na zakończenie wysyłki i mogą operować na zadaniu równolegle z dispatcherem. Poprawka dodaje wywołanie scx_wait_dispatching() przed operacjami na zadaniu.
- CVE-2026-99268Nieznane
W io_uring z IORING_SETUP_DEFER_TASKRUN ukończenia są kolejkowane jako lokalna praca i stają się CQE dopiero, gdy zgłaszający wejdzie do jądra, aby czekać na zdarzenia. io_uring_poll() zgłasza EPOLLIN, jeśli lokalna praca jest oczekująca, ale tylko jeśli praca istnieje w momencie wywołania; po dodaniu DEFER_TASKRUN budzenie ->poll_wq zostało zastąpione bezpośrednim budzeniem zgłaszającego, przez co poll() może zasnąć mimo pojawienia się pracy. Poprawka budzi ->poll_wq, gdy pierwszy wpis trafia na listę pracy, używając w razie potrzeby callbacku RCU.
- CVE-2026-99267Nieznane
W io_uring NAPI przy dynamicznym śledzeniu identyfikator NAPI, który nie był widziany przez minutę, powinien zostać usunięty z listy odpytywanej przez ring. Limit czasu jest jednak liczony niepoprawnie — użyto SEC_CONVERSION zamiast liczby jiffies w sekundzie, co dla HZ=1000 daje około ośmiu lat, a na 32-bitowych systemach powoduje przepełnienie. W rezultacie wpisy nigdy nie są usuwane i każde odpytywanie sprawdza wszystkie historyczne identyfikatory.
- CVE-2026-99266Nieznane
W io_uring zcrx funkcja io_zcrx_queue_cqe() oblicza przesunięcie bufora w obszarze na podstawie net_iov_idx(), które jest typu unsigned int, więc przesunięcie jest wykonywane w 32 bitach, a dopiero wynik jest rozszerzany do u64 w CQE. Obszar może mieć do 1 TB, więc dla każdego niov powyżej pierwszych 4 GB CQE wskazuje aplikacji bufor o 4 GB (lub wielokrotność) poniżej właściwego. Aplikacja czyta złe dane i zwraca bufor, którego nie posiada, przez kolejkę uzupełnień, podczas gdy prawdziwy nigdy nie jest zwracany.
- CVE-2026-99265Nieznane
W io_uring/openclose funkcja io_pipe_fixed() instaluje oba końce potoku w tabeli stałych plików, zwalnia ->uring_lock i kopiuje numery slotów do aplikacji. Jeśli kopiowanie spowoduje błąd, ponownie bierze blokadę i usuwa to, co znajduje się w tych slotach. Gdy żądanie jest wykonywane przez io-wq, blokada jest naprawdę zwalniana, a sloty są widoczne dla innych; zanim ścieżka błędu do nich dotrze, mogą zostać zamknięte i ponownie użyte (przez IORING_OP_CLOSE, bezpośrednie open/accept lub IORING_REGISTER_FILES_UPDATE), co powoduje usunięcie pliku niezwiązanego z nieudanym żądaniem. Poprawka wykonuje kopiowanie z trzymaną blokadą.
- CVE-2026-99264Nieznane
W jądrze Linux naprawiono błąd w io_uring/net dotyczący ponawiania odbioru (recv) na niezatwierdzonych buforach. Gdy odbiór był ponawiany po częściowym transferze, jądro mogło ponownie udostępnić pamięć bufora, do której ponawiane żądanie wciąż zapisywało, co prowadziło do nadpisania danych. Zamiast ponawiać, żądanie jest teraz kończone z otrzymaną liczbą bajtów, a MSG_WAITALL nie jest już respektowane dla buforów inkrementalnych i wiązek wielu buforów.
- CVE-2026-99263Nieznane
W io_uring/poll jeśli wybudzenie ustawi IO_POLL_RETRY_FLAG pomiędzy momentem, gdy zadanie będące właścicielem skonsumuje istniejącą instancję IO_POLL_RETRY_FLAG, a sprawdzeniem pętli w io_poll_check_events(), przetwarzanie żądania zostaje wstrzymane do czasu nadejścia niezwiązanego wybudzenia. Poprawka używa atomic_cmpxchg zamiast atomic_sub_return, aby zagwarantować, że licznik v i poll_refs wynoszą 0 i żadne wybudzenia nie zostaną pominięte.
- CVE-2026-99262Nieznane
W io_uring/timeout żądanie IORING_OP_TIMEOUT uruchamiane przez io-wq z powodu IOSQE_ASYNC ma ten sam problem co poll, futex i waitid. io_wq_submit_work() sprawdza IO_WQ_WORK_CANCEL tylko raz, przed wydaniem żądania; anulowanie w międzyczasie ustawia flagę, otrzymuje -EALREADY i bezskutecznie szuka w ->timeout_list, podczas gdy worker dodaje żądanie i uruchamia timer. Nikt nie sprawdza flagi ponownie i limit czasu trwa do końca, a przy wyjściu z ringu zadanie może zawiesić się na cały czas trwania limitu. Poprawka sprawdza flagę pod ->timeout_lock i odrzuca żądanie, jeśli jest ustawiona.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: ntfs3: bound to_move in indx_insert_into_root before hdr_insert_head indx_insert_into_root() promotes a full resident $INDEX_ROOT into $INDEX_ALLOCATION and copies all non-last resident root entries into a newly allocated INDEX_BUFFER via hdr_insert_head(). The source byte count 'to_move' is summed from the on-disk resident entry sizes and is independent of the destination buffer size, which comes from root->index_block_size (via indx->index_bits). A crafted NTFS image that keeps a valid, full resident root but shrinks root->index_block_size down to 512 after the root has been populated makes hdr_insert_head() memcpy attacker-controlled resident entry bytes past the end of the kmalloc(1u << indx->index_bits) allocation returned by indx_new(). For a 512-byte destination and a resident root whose non-last entries total 560 bytes, the memcpy overruns by 120 bytes and a following memmove extends the highest written offset to 136 bytes past the allocation. The overflow bytes are a direct copy of on-disk entries (via kmemdup), so they are fully attacker-controlled. The write is reachable from unprivileged open(O_CREAT) on a mounted crafted NTFS image: a single sufficiently long create in a directory whose resident root is already full forces root promotion and triggers the copy. This is a controlled out-of-bounds write of 120-136 bytes past a kmalloc(index_block_size) allocation, with attacker-controlled content. It is a bounded adjacent-heap corruption primitive; it is not an arbitrary-address write. Successful exploitation into a named victim object depends on the surrounding slab layout. Reject the copy at the sink. The destination's INDEX_HDR already reports hdr_total (the payload capacity of the new buffer) and hdr_used (the bytes already consumed by the terminal END entry installed by indx_new()); require that to_move fits in the remaining payload before calling hdr_insert_head(). On mismatch, fail with -EINVAL and mark the filesystem as having a detected on-disk inconsistency, which is the same behaviour as the surrounding validation in this function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS