Vulnerabilidad en kernel de Linux (CVE-2022-49073)

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ata: sata_dwc_460ex: Se corrige un fallo debido a que el controlador usa valores de "etiqueta" de libata en varias matrices debido a que la corrección mencionada aumentó ATA_TAG_INTERNAL a 32. Por lo tanto, el valor de SATA_DWC_QCMD_MAX debe tenerlo en cuenta. De lo contrario, el uso de ATA_TAG_INTERNAL causa fallos similares a este, según lo informado por Tice Rex en el foro OpenWrt y reproducido (con símbolos) aquí: | ERROR: Desreferencia de puntero NULL del kernel en 0x00000000 | Dirección de instrucción con error: 0xc03ed4b8 | Vaya: Acceso del kernel a un área incorrecta, firma: 11 [#1] | BE PAGE_SIZE=4K PowerPC 44x Platform | CPU: 0 PID: 362 Comm: scsi_eh_1 No contaminado 5.4.163 #0 | NIP: c03ed4b8 LR: c03d27e8 CTR: c03ed36c | REGS: cfa59950 TRAP: 0300 No contaminado (5.4.163) | MSR: 00021000 CR: 42000222 XER: 00000000 | DEAR: 00000000 ESR: 00000000 | GPR00: c03d27e8 cfa59a08 cfa55fe0 00000000 0fa46bc0 [...] | [..] | Rastreo de llamadas: | [cfa59a08] [c003f4e0] __cancel_work_timer+0x124/0x194 (no confiable) | [cfa59a78] [c03d27e8] ata_qc_issue+0x1c8/0x2dc | [cfa59a98] [c03d2b3c] ata_exec_internal_sg+0x240/0x524 | [cfa59b08] [c03d2e98] ata_exec_internal+0x78/0xe0 | [cfa59b58] [c03d30fc] ata_read_log_page.part.38+0x1dc/0x204 | [cfa59bc8] [c03d324c] ata_identify_page_supported+0x68/0x130 | [...] Esto se debe a que sata_dwc_dma_xfer_complete() convierte en NULL el próximo vecino "chan" de dma_pending (una estructura *dma_chan) en este caso '32' aquí mismo (línea ~735): > hsdevp->dma_pending[tag] = SATA_DWC_DMA_PENDING_NONE; Luego, la próxima vez que se emite un dma; dma_dwc_xfer_setup() pasa el hsdevp->chan convertido en NULL a dmaengine_slave_config() que luego causa el bloqueo. Con este parche, SATA_DWC_QCMD_MAX ahora está configurado en ATA_MAX_QUEUE + 1. Esto evita el OOB. Pero tenga en cuenta que hubo una discusión valiosa sobre qué son ATA_TAG_INTERNAL y ATA_MAX_QUEUE. Y por qué no debería haber un tamaño de cola "falso" de 33 comandos. Idealmente, el controlador dw debería tener en cuenta ATA_TAG_INTERNAL. En palabras de Damien Le Moal: "... después de observar el controlador, es un cambio más grande que simplemente falsificar una "etiqueta" número 33 que, de hecho, no es una etiqueta de comando en absoluto". Enlace de error: https://github.com/openwrt/openwrt/issues/9505