Linux 7.3 修复了一个无提示截断文件名的 FAT 系统故障

**Linux 7.3 内核引入了对 FAT 文件系统驱动程序的修复，该驱动程序多年来接受了超出允许长度的文件名，默默地截断它们并导致意外行为。这个漏洞是由华为的一名工程师发现的，影响了数据的完整性，并在使用 open() 等函数时产生内核警告，尽管 vfat 并未受到影响。

FAT 内部的一个无声漏洞

Linux 的 FAT 文件系统驱动程序负责支持 FAT12、FAT16 和 FAT32，通常很少接收到相关更新，但对于 Linux 7.3，推出了一个修补程序，修复了一个可能长时间被忽视的缺陷。问题在于缺乏对文件名长度的上限检查，导致过长的文件名被默默截断，从而产生意外情况。

当文件名超过 Linux 的 NAME_MAX 限制（255 字节）时，驱动程序会在没有发出任何警告的情况下截断超出部分，并继续进行操作，仿佛操作成功。这种行为并非故意，因为在后续读取这些文件时，系统只会匹配被截断的字节，这可能导致不一致和潜在的数据丢失。

华为的工程师 Zizhi Wo 发现并解决了 FAT 驱动程序中的问题，他在补丁消息中解释说，msdos_format_name() 函数没有对输入名称的长度进行任何上限检查。

超长文件名的风险

为了说明这个故障的严重性，Wo 举了一个具体的例子：传递一个由 300 个 'A' 组成的文件名返回 0 作为成功，res 被设置为 "AAAAAAAA"（八个 'A' 加三个填充空格），报告成功的文件名远远超过 NAME_MAX。这个场景不仅令人困惑，还可能在内核中引发异常行为。

当用户调用 open() 时，如果路径组件超过 255 字节，VFS 系统只应用 PATH_MAX，而不是单个组件的长度，因此 dentry 保留了原始的长名称，但分配了一个 inode 并变为正值。这会在 vfs_open() 中触发警告，并传播到 fsnotify_open() 和 fanotify_info_copy_name()，在这里会激活 WARN_ON_ONCE()，导致事件以空名称报告给用户空间。

影响不仅限于烦人的警告，还可能影响依赖 fanotify 监控文件系统事件的系统。事件中的空名称可能会破坏依赖该信息的应用程序逻辑，产生潜在的漏洞或安全监控失败。

幸运的是，vfat 文件系统并未受到此问题的影响，因为其创建过程经过 xlate_to_uni()，该过程拒绝超过 FAT_LFN_LEN（255 个字符）的名称。

华为提出的修复方案

实施的解决方案在 msdos_format_name() 的输入中添加了对 'len > NAME_MAX' 的检查，这是驱动程序中所有 msdos 名称处理的唯一入口点。此检查与 xfs、9p、ceph 和 simple_lookup() 在查找时进行的检查一致，确保没有名称超过系统设定的限制。

这种方法确保从 Linux 7.3 内核开始，任何尝试在 FAT 系统中使用超过 255 字节的文件名的行为都会被有控制地拒绝，而不是默默地截断。该修复还避免了内核中不必要的警告，提高了系统的稳定性和安全性。

该补丁已提交并现已合并到 Linux 7.3 中，预计也将在不久的将来回溯到稳定内核，以便使用旧版本内核的发行版用户能够受益于此修复。

这种类型的故障虽然在像 FAT 这样古老的驱动程序中不常见，但强调了保持系统更新和审查处理关键操作（如文件访问）代码的重要性。