Vulnerabilidad en el kernel de Linux (CVE-2017-1000410)

El kernel de Linux en su versión 3.3-rc1 y siguientes se ha visto afectado por una vulnerabilidad en el procesamiento de comandos L2CAP entrantes - ConfigRequest y mensajes ConfigResponse. Este filtrado de información es el resultado de variables de la pila sin inicializar que podrían ser devueltas a un atacante en su estado no inicializado. Al manipular los flujos de código que preceden la gestión de estos mensajes de configuración, un atacante también podría obtener algún tipo de control sobre qué datos se mantendrán en las variables de pila sin inicializar. Esto también puede permitirle omitir KASLR y la protección de valores controlados de pila, ya que tanto los punteros como los valores controlados de pila podrían haberse filtrado de esta forma. La combinación de esta vulnerabilidad, por ejemplo, con la vulnerabilidad RCE previamente revelada en el análisis sintáctico de la configuración L2CAP (CVE-2017-1000251) podría permitir que un atacante explote el RCE contra kernels construidos con las mitigaciones anteriores. Estos son los detalles de esta vulnerabilidad: En las funciones l2cap_parse_conf_rsp y l2cap_parse_conf_req, la siguiente variable se declara sin inicialización: struct l2cap_conf_efs efs. Además, al analizar sintácticamente los parámetros de configuración de entradas en ambas funciones, el switch case para manipular elementos EFS podría omitir la llamada memcpy que escribirá en la variable efs: ... case L2CAP_CONF_EFS: if (olen == sizeof(efs)) memcpy(efs, (void *)val, olen); ... El olen en el if anterior está controlado por el atacante e, independientemente de ese if, en ambas funciones la variable efs se añadiría finalmente a la petición saliente de configuración que se está construyendo: l2cap_add_conf_opt(ptr, L2CAP_CONF_EFS, sizeof(efs), (unsigned long) efs). Por lo tanto, al enviar una petición de configuración o una respuesta que contenga un elemento L2CAP_CONF_EFS, pero con una longitud de elemento que no es sizeof(efs), el memcpy en la variable efs no inicializada puede omitirse y la variable no inicializada se devolvería al atacante (16 bytes).