Vulnerabilidad en Linux (CVE-2026-46303)

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> isofs: validar la extensión de continuación Rock Ridge CE contra el tamaño del volumen<br /> <br /> rock_continue() lee rs-&gt;cont_extent textualmente del registro Rock Ridge CE y lo pasa a sb_bread() sin verificar que el número de bloque esté dentro del volumen ISO 9660 montado. El commit e595447e177b (&amp;#39;[PATCH] rock.c: handle corrupted directories&amp;#39;) añadió el rechazo de cont_offset y cont_size para la continuación CE pero no validó el número de bloque de la extensión en sí. El commit f54e18f1b831 (&amp;#39;isofs: Fix infinite looping over CE entries&amp;#39;) más tarde limitó la longitud de la cadena CE a RR_MAX_CE_ENTRIES = 32 pero de nuevo dejó el número de bloque sin verificar.<br /> <br /> Con un ISO manipulado montado vía udisks2 (montaje automático óptico de escritorio) o vía montaje CAP_SYS_ADMIN, rs-&gt;cont_extent puede, por lo tanto, apuntar a un bloque fuera de rango o a bloques pertenecientes a un sistema de archivos adyacente en el mismo dispositivo de bloques. sb_bread() en un bloque fuera de rango devuelve NULL limpiamente vía la ruta EIO de la capa de bloques, por lo que no hay violación de seguridad de memoria. Para lecturas dentro de rango de datos de sistemas de archivos adyacentes, el búfer CE se analiza como registros Rock Ridge y solo el texto de los subregistros SL llega al espacio de usuario a través de readlink(), lo que hace que el canal de fuga de información sea estrecho y difícil de exploit; aún así, rechazar el CE malformado directamente coincide con la forma de rechazo ya presente en la misma función para cont_offset y cont_size.<br /> <br /> Añadir una verificación de límites ISOFS_SB(sb)-&gt;s_nzones a rock_continue() junto al rechazo existente de offset/size, imprimiendo el mismo aviso de entrada de directorio corrupta.