Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - btrfs:ページ数よりもエントリ数の多い空き領域キャッシュを拒否します v1 の空き領域キャッシュをロードする際、
    __load_free_space_cache()は、オンディスクbtrfs_free_space_headerから直接num_entriesとnum_bitmapsを取得します。そのヘッダーは、タイプ 0 のキーのtree_rootに保存されます。ツリーチェッカーにはケースがないため、ロードが信頼する前にカウントは検証されません。ロードはnum_entries回ループし、現在のページがなくなるたびに次のページをマッピングします。io_ctl_check_crc() -> io_ctl_map_page() を経由して、io_ctl->pages[io_ctl->index++] を実行します。しかし、pages[] は num_entries からではなく、キャッシュ inode のi_sizeから io_ctl_init() に割り当てられています: num_pages = DIV_ROUND_UP(i_size_read(inode), PAGE_SIZE);io_ctl->pages = kcalloc(num_pages, sizeof(構造体ページ *), GFP_NOFS);そのため、ページが保持できる以上のレコードを num_entries が要求する場合、io_ctl->index は pages[] の端を越えて実行されます。io_ctl_add_entry() と io_ctl_add_bitmap() は両方とも一度停止するため、書き込み側はこれを決してヒットしません io_ctl->index >= io_ctl->num_pages;読み取り側では、同じチェックが行われませんでした。これを発生させるには、クリーンキャッシュ(ここでは num_entries = <N> )を取り、ヘッダーで num_entries を 0x10000 に設定し、ツリーチェッカーを渡し続けるようにリーフチェックサムを修正します。キャッシュ inode は i_size = 65536 であるため、num_pages は 16 であり、pages[] は 16 ポインター (kmalloc-128) 配列です。ロードは今では 65536 エントリの読み取りを試行し、io_ctl->index は 16 個までウォークし、pages[16] は配列を超えて読み取られます:バグ:KASAN:io_ctl_check_crc における slab-out-of-bounds(fs/btrfs/free-space-cache.c:420 fs/btrfs/free-space-cache.c:565)タスク kworker/u8:3/58 による addr ffff88800c833a80 でのサイズ 8 の読み取りio_ctl_check_crc(fs/btrfs/free-space-cache.c:420 fs/btrfs/free-space-cache.c:565)
    __load_free_space_cache (fs/btrfs/free-space-cache.c:655 fs/btrfs/free-space-cache.c:820) load_free_space_cache (fs/btrfs/free-space-cache.c:1017) caching_thread (fs/btrfs/block-group.c:880) btrfs_work_helper (fs/btrfs/async-thread.c:312) process_one_work worker_thread kthread ret_from_fork free-space-cache.c:420 は io_ctl_map_page() であり、行 565 で io_ctl_check_crc() にインライン化されます、 それがフレームKASANの名前である理由です。領域外スロットはその後、構造体ページとして扱われ、crc32c() に渡されます。このため、不良読み取りは GP 障害に変わります。不足しているチェックを io_ctl_check_crc() に追加します。これがエントリループとビットマップループの両方が終了する場所です。num_entriesが大きすぎる場合、破損したキャッシュと同様にロードが失敗するようになりました。__load_free_space_cache()はそれをドロップし、エクステントツリーから空き領域を再構築するため、有効なキャッシュが拒否されることはありません。(CVE-2026-64567)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-64567

high Nessus プラグイン ID 332771

バージョン 1.4