CVE-2026-55781 — NanaZip UFS 解析器拒绝服务漏洞

NanaZip 的 UFS 处理程序中存在无界内存分配漏洞，通过攻击者可控的 fs_bsize 字段触发。

摘要

根本原因

NanaZip.Codecs.Archive.Ufs.cpp 读取 UFS 超级块，并仅对 fs_bsize 进行下界校验（MINBSIZE）。在该值被用于确定分配大小之前，未强制实施上界检查。

当根 inode（#2）声明的 di_size 大到需要间接块时，解析器会使用 fs_bsize 为每个间接层级分配一个缓冲区。设置 fs_bsize = 0x40000000（1 GiB）和 di_size = 0x10000000000（1 TiB）会强制进行三次 1 GiB 的分配（Ufs.cpp:435-437）——大约 3 GiB 的连续内存——且在任何边界检查运行之前。

结果：内存耗尽和进程终止。无代码执行。

构造的镜像布局

关键超级块字段（偏移量基于 FreeBSD fs.h 中的 offsetof(struct fs, ...)）：

根 inode 地址：GetInodeOffset(2) = fs_iblkno * fs_fsize + 2 * 256 = 512。

用法

python3 poc.py poc.img

该脚本写入畸形镜像并重新解析它，以确认每个字段都落在易受攻击的解析器所期望的位置。无网络访问、无子进程、无武器化载荷——仅载体文件本身是无害的。

验证

生成的镜像可以在没有 NanaZip 的情况下进行检查：

xxd -s 65536 -l 64 poc.img     # 超级块头部
xxd -s 512   -l 32 poc.img     # 根 inode 头部

要观察崩溃，请在 Windows 上使用易受攻击的版本打开 poc.img。6.5.1749.0 及更高版本能正确处理该输入。

注意：此 PoC 是通过对 NanaZip.Codecs 解析器的静态分析构建的。它到达了安全公告中记录的精确易受攻击行，但未针对运行中的 NanaZip 构建执行。

缓解措施

· 升级到 NanaZip >= 6.5.1749.0。 · 如果无法升级，请避免打开来自不受信任来源的 UFS 镜像。

参考资料

· NanaZip: https://github.com/M2Team/NanaZip · 安全公告: GHSA-m34h-jf84-m74h · CWE-789: https://cwe.mitre.org/data/definitions/789.html

免责声明

本材料仅供防御性研究和在受控环境中复现漏洞使用。请勿将其用于您不拥有或未经明确许可测试的系统。