Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - btrfs:サブボリューム作成時にBTRFS_ROOT_ORPHAN_CLEANUP設定最近、破損した歯部を持つサブボリュームがいくつか観察されました。親ダイルをls-入力すると、drwxrwxrwt 1 ルート 16 January 23 16:49 drwxr-xr-x 1 ルート 24 January 23 16:48 .. d????????? ? ? ? ? ? broken_subvol 同様にstat化は失敗します。この状態では、ENOENTではサブヴォルトの削除は失敗しますが、その上に新しいファイルやサブヴォルトを作成しようとするとEEXISTでエラーが発生し、fsも中止されます。そのため、私たちは少し行き詰まっています。DMESGは単一の注目すべきエラーメッセージを含みます。以下の通りです:オーファンクリーンアップを行けませんでした -2 はENOENTであり、エラーはbtrfs_orphan_cleanup()の障害処理パスから発生し、スタックはbtrfs_lookup()まで遡ります。btrfs_lookup btrfs_lookup_dentry btrfs_orphan_cleanup // そのメッセージを印刷して返事をします
    -ENOENT 内部状態を詳細に確認した結果、次の点が明らかになりました:- サブヴォルには孤児的な項目が存在しない - サブボルは健康な見た目で、半分削除されておらず、ドロップの進行もないなど。- サブヴォルはかなり前に作成されており、BTRFS_ROOT_ORPHAN_CLEANUPをセットする意味のある最初のbtrfs_orphan_cleanup()コールはずっと後から行われます。- btrfs_orphan_cleanup()が失敗した後、btrfs_lookup_dentry()が-ENOENTを返し、これによりd_splice_alias(NULL, dentry)を介してサブボリュームの負のdentryが生じ、観察された挙動が生まれます。このバグはdentryキャッシュを解除することで緩和でき、その時点でサブボリュームを削除しても問題ありません。すなわち、btrfs_lookup() btrfs_lookup_dentry() もし (!sb_rdonly(inode->vfs_inode)->vfs_inode) btrfs_orphan_cleanup(sub_root) test_and_set_bit(BTRFS_ROOT_ORPHAN_CLEANUP) btrfs_search_slot() // inode N ... の孤児項目を見つける
    プリントは孤児のクリーンアップ -2 を行うことができませんでした。ただし、(inode == ERR_PTR(-ENOENT)) inode = NULL;return d_splice_alias(NULL, dentry) // NEGATIVE DENTRY for valid subvolume btrfs_orphan_cleanup() は実行時にルート上でtest_and_set_bit(BTRFS_ROOT_ORPHAN_CLEANUP)を行うため、同じルート上で複数回実行できず、別の何かが同時に実行される必要があります。しかし、nlinkが0になったときに孤児を削除する明らかなルートは、まずサブボリュームのルックアップを行い、btrfs_orphan_cleanup()を実行してビットを設定する必要があります。最後に重要な観察は、create_subvol()はd_instantiate_new()を呼び出しますがBTRFS_ROOT_ORPHAN_CLEANUPを設定しないため、dentryキャッシュがドロップされた場合、次回のサブボリュームの検索で初めてbtrfs_orphan_cleanup()への本格的な呼び出しが行われます。
    これによりinode/orphanアイテムを同時に削除する可能性が生まれますが、ほとんどの典型的なevict()パスは親dentry上の参照を保持します(子dentryはdgetを介してparent->d_lockref.countをd_alloc()で保持し、__dentry_kill()でリリース)。これにより親がdentryキャッシュから削除されるのを防ぎます。唯一の例外は遅延イプットです。順序付き範囲作成はinode上でigrab()を呼び出します。ファイルがリンク解除され閉じられたまま参照が保持されている場合、__dentry_kill()のiput()はi_countを減らしますが、追放(i_count > 0)を引き起こしません。子エントリーは解放され、サブヴォルのエントリーの d_lockref.count は 0 に下がり、inode が生きている間は追放可能になります。2つのレース(書き込みとアンリンクのレース、ルックアップと遅延入力のレース)があり、動く要素が多すぎるため、以下の3つの図は全体の全体像を示しています。(レースは2番目と3番目のみ)フェーズ1:BTRFS_ROOT_ORPHAN_CLEANUP btrfs_mksubvol() lookup_one_len()を使わずにdentryキャッシュでSubvolを作成する
    __lookup_slow() d_alloc_parallel() __d_alloc() // d_lockref.count = 1 create_subvol(dentry) // はビットに触れません..d_instantiate_new(dentry, inode) // キャッシュ内のdentry with the S d_lockref.c ---truncated--- (CVE-2026-31519)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-31519

medium Nessus プラグイン ID 309831

バージョン 1.14