CVE-2026-45985
Beschrijving NL
In de Linux kernel is de volgende kwetsbaarheid verholpen:
ext4: stel EXT4_GET_BLOCKS_CONVERT niet in bij het splitsen voordat u I/O indient
Bij het toewijzen van blokken tijdens WITHIN-EOF DIO en writeback met
dioread_nolock ingeschakeld, EXT4_GET_BLOCKS_PRE_IO was ingesteld om een
bestaande grote ongeschreven omvang. EXT4_GET_BLOCKS_CONVERT was echter
ingesteld bij het aanroepen van ext4_split_convert_extents(), wat mogelijk
resulteren in verouderde dataproblemen. Stel dat we een ongeschreven omvang hebben, dan schrijft DIO de tweede helft. [UUUUUUUUUUUUUUUUU] on-disk extent U: ongeschreven omvang
[UUUUUUUUUUUUUUUUUU] mate statusboom
|| ----> dio schrijf dit bereik
Eerst ext4_iomap_alloc() ext4_map_blocks() aanroepen met
EXT4_GET_BLOCKS_PRE_IO, EXT4_GET_BLOCKS_UNWRIT_EXT EN
EXT4_GET_BLOCKS_CREATE vlaggen ingesteld. ext4_map_blocks() vinden deze omvang en
call ext4_split_convert_extents() met EXT4_GET_BLOCKS_CONVERT en de
bovenstaande vlaggen ingesteld. Vervolgens roept ext4_split_convert_extents() ext4_split_extent() aan met
EXT4_ext_MAY_ZEROOUT, EXT4_ext_MARK_UNWRIT2 en EXT4_ext_DATA_VALID2
vlaggen ingesteld, en het roept ext4_split_extent_op() om de tweede helft te splitsen
met EXT4_ext_DATA_VALID2, EXT4_ext_MARK_UNWRIT1, EXT4_ext_MAY_ZEROOUT
en EXT4_ext_MARK_UNWRIT2 vlaggen ingesteld. Ext4_Split_extent_at()
kan geen mate invoegen sinds een tijdelijk gebrek -ENOSPC. Het komt op nul te staan
de eerste helft, maar converteer de volledige hoeveelheid op de schijf naar geschreven sinds
de vlag EXT4_ext_DATA_VALID2 ingesteld, maar de tweede helft ongeschreven gelaten
in de extent statusboom. [0000000000SSSS] data S: verouderde gegevens, 0: nul
[WWWWWWWWWWWWWWWWW] on-disk extent W: geschreven omvang
[WWWWWWWWWUUUUUU] mate statusboom
Ten slotte, als de DIO er niet in slaagde om gegevens naar de schijf te schrijven, worden de verouderde gegevens in
de tweede helft zal worden blootgelegd zodra de gecachete mate van invoer is verdwenen. Los dit probleem op door EXT4_GET_BLOCKS_CONVERT niet door te geven bij het splitsen
een ongeschreven omvang voordat I/O wordt ingediend, en maak
ext4_split_convert_extents() tot nul buiten het volledige bereik
tot nul voor dit geval, en markeer ook de mate in de mate status
boom voor consistentie.
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
ext4: don't set EXT4_GET_BLOCKS_CONVERT when splitting before submitting I/O
When allocating blocks during within-EOF DIO and writeback with
dioread_nolock enabled, EXT4_GET_BLOCKS_PRE_IO was set to split an
existing large unwritten extent. However, EXT4_GET_BLOCKS_CONVERT was
set when calling ext4_split_convert_extents(), which may potentially
result in stale data issues.
Assume we have an unwritten extent, and then DIO writes the second half.
[UUUUUUUUUUUUUUUU] on-disk extent U: unwritten extent
[UUUUUUUUUUUUUUUU] extent status tree
|| ----> dio write this range
First, ext4_iomap_alloc() call ext4_map_blocks() with
EXT4_GET_BLOCKS_PRE_IO, EXT4_GET_BLOCKS_UNWRIT_EXT and
EXT4_GET_BLOCKS_CREATE flags set. ext4_map_blocks() find this extent and
call ext4_split_convert_extents() with EXT4_GET_BLOCKS_CONVERT and the
above flags set.
Then, ext4_split_convert_extents() calls ext4_split_extent() with
EXT4_EXT_MAY_ZEROOUT, EXT4_EXT_MARK_UNWRIT2 and EXT4_EXT_DATA_VALID2
flags set, and it calls ext4_split_extent_at() to split the second half
with EXT4_EXT_DATA_VALID2, EXT4_EXT_MARK_UNWRIT1, EXT4_EXT_MAY_ZEROOUT
and EXT4_EXT_MARK_UNWRIT2 flags set. However, ext4_split_extent_at()
failed to insert extent since a temporary lack -ENOSPC. It zeroes out
the first half but convert the entire on-disk extent to written since
the EXT4_EXT_DATA_VALID2 flag set, but left the second half as unwritten
in the extent status tree.
[0000000000SSSSSS] data S: stale data, 0: zeroed
[WWWWWWWWWWWWWWWW] on-disk extent W: written extent
[WWWWWWWWWWUUUUUU] extent status tree
Finally, if the DIO failed to write data to the disk, the stale data in
the second half will be exposed once the cached extent entry is gone.
Fix this issue by not passing EXT4_GET_BLOCKS_CONVERT when splitting
an unwritten extent before submitting I/O, and make
ext4_split_convert_extents() to zero out the entire extent range
to zero for this case, and also mark the extent in the extent status
tree for consistency.