Vulnerabilidad en kernel de Linux (CVE-2022-49159)

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: scsi: qla2xxx: Implementar recuento de referencias para SRB El controlador de tiempo de espera y la función done están en ejecución. Cuando qla2x00_async_iocb_timeout() comienza a ejecutarse, puede ser interrumpido por la ruta de respuesta normal (¿a través del firmware?). qla24xx_async_gpsc_sp_done() libera el SRB incondicionalmente. Al programar de nuevo a qla2x00_async_iocb_timeout(), qla24xx_async_abort_cmd() accederá a un puntero sp->qpair liberado: qla2xxx [0000:83:00.0]-2871:0: Tiempo de espera de Async-gpsc - hdl=63d portid=234500 50:06:0e:80:08:77:b6:21. qla2xxx [0000:83:00.0]-2853:0: Async-gpsc res 0, WWPN 50:06:0e:80:08:77:b6:21 qla2xxx [0000:83:00.0]-2854:0: Async-gpsc SALIDA WWPN 20:45:00:27:f8:75:33:00 velocidades=2c00 velocidad=0400. qla2xxx [0000:83:00.0]-28d8:0: qla24xx_handle_gpsc_event 50:06:0e:80:08:77:b6:21 DS 7 LS 6 rc 0 login 1|1 rscn 1|0 lid 5 ERROR: no se puede manejar la desreferencia del puntero NULL del núcleo en 0000000000000004 IP: qla24xx_async_abort_cmd+0x1b/0x1c0 [qla2xxx] La solución obvia para esto es introducir un contador de referencia. Se toma una referencia para la ruta de código normal (el caso "bueno") y otra para la ruta de tiempo de espera. Como siempre corremos entre el caso bueno normal y el controlador de tiempo de espera/aborto, necesitamos serializarlo. Además, no podemos asumir ningún orden entre los controladores. Dado que esta es una ruta lenta, podemos usar la sincronización adecuada a través de bloqueos. Cuando podemos cancelar un temporizador (del_timer devuelve 1), sabemos que no puede haber ningún manejo de errores en curso porque el manejador de tiempo de espera aún no ha expirado, por lo que podemos disminuir de manera segura el contador de referencias en uno. Si no podemos cancelar el temporizador, sabemos que se está ejecutando un manejador de aborto. Tenemos que asegurarnos de llamar a sp->done() en los manejadores de aborto antes de llamar a kref_put().