<p dir="ltr">Awesome, thanks for the update!</p>
<br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Tue, Feb 25, 2025, 9:59 AM Tom Rini <<a href="mailto:trini@konsulko.com">trini@konsulko.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On Sat, Feb 22, 2025 at 12:47:45PM -0800, Jonathan Bar Or wrote:<br>
<br>
> Hello Tom and team,<br>
> <br>
> Looks like all of the issues were fixed and merged - am I correct?<br>
> I intend to make a public disclosure March 19th, is that okay?<br>
<br>
Yes, I've merged all of the patches I'm aware of at this point.<br>
<br>
> <br>
> Best,<br>
>        Jonathan<br>
> <br>
> On Fri, Feb 14, 2025 at 7:24 PM Jonathan Bar Or <<a href="mailto:jonathanbaror@gmail.com" target="_blank" rel="noreferrer">jonathanbaror@gmail.com</a>> wrote:<br>
> ><br>
> > Please disregard the previous message, those are the actual CVE numbers:<br>
> ><br>
> > - CVE-2025-26726 :SquashFS directory table parsing buffer overflow<br>
> > - CVE-2025-26727: SquashFS inode parsing buffer overflow.<br>
> > - CVE-2025-26728: SquashFS nested file reading buffer overflow.<br>
> > - CVE-2025-26729: EroFS symlink resolution buffer overflow.<br>
> ><br>
> > Best regards,<br>
> >            Jonathan<br>
> ><br>
> ><br>
> > On Fri, Feb 14, 2025 at 7:17 PM Jonathan Bar Or <<a href="mailto:jonathanbaror@gmail.com" target="_blank" rel="noreferrer">jonathanbaror@gmail.com</a>> wrote:<br>
> > ><br>
> > > Hi folks.<br>
> > ><br>
> > > Here are the CVEs assigned by MITRE:<br>
> > > - CVE-2025-26721: buffer overflow in the persistent storage for file creation<br>
> > > - CVE-2025-26722: buffer overflow in SquashFS symlink resolution<br>
> > > - CVE-2025-26723: buffer overflow in EXT4 symlink resolution<br>
> > > - CVE-2025-26724: buffer overflow in CramFS symlink resolution<br>
> > > - CVE-2025-26724: buffer overflow in JFFS2 dirent parsing<br>
> > ><br>
> > > Best regards,<br>
> > >            Jonathan<br>
> > ><br>
> > > On Wed, Feb 12, 2025 at 12:24 AM Miquel Raynal<br>
> > > <<a href="mailto:miquel.raynal@bootlin.com" target="_blank" rel="noreferrer">miquel.raynal@bootlin.com</a>> wrote:<br>
> > > ><br>
> > > > Hello Tom,<br>
> > > ><br>
> > > > On 11/02/2025 at 15:29:09 -06, Tom Rini <<a href="mailto:trini@konsulko.com" target="_blank" rel="noreferrer">trini@konsulko.com</a>> wrote:<br>
> > > ><br>
> > > > > On Tue, Feb 11, 2025 at 08:26:37AM -0800, Jonathan Bar Or wrote:<br>
> > > > >> Hi Tom and the rest of the team,<br>
> > > > >><br>
> > > > >> Please let me know about fix time, whether this is acknowledged and<br>
> > > > >> whether you're going to request CVE IDs for those or if I should do<br>
> > > > >> it.<br>
> > > > >> The reason is that I found similar issues in other bootloaders, so I'm<br>
> > > > >> trying to synchronize all of them. For what it's worth, Barebox has<br>
> > > > >> similar issues and are currently fixing.<br>
> > > > ><br>
> > > > > Yes, these seem valid. We don't have a CVE requesting authority so if<br>
> > > > > you want them, go ahead and request them. You saw Gao Xiang's response<br>
> > > > > for erofs, and I'm hoping one of the squashfs maintainers will chime<br>
> > > > > in.<br>
> > > ><br>
> > > > Either João or me, we will have a look.<br>
> > > ><br>
> > > > Thanks,<br>
> > > > Miquèl<br>
<br>
-- <br>
Tom<br>
</blockquote></div>