Vulnerabilidad en Linux (CVE-2026-46253)

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> pstore/ram: corrige desbordamiento de búfer en persistent_ram_save_old()<br /> <br /> persistent_ram_save_old() puede ser llamada múltiples veces para la misma persistent_ram_zone (por ejemplo, a través de ramoops_pstore_read -&gt; ramoops_get_next_prz para registros PSTORE_TYPE_DMESG).<br /> <br /> Actualmente, la función solo asigna prz-&gt;old_log cuando es NULL, pero actualiza incondicionalmente prz-&gt;old_log_size al tamaño de búfer actual y luego realiza memcpy_fromio() usando este nuevo tamaño. Si el tamaño del búfer ha crecido desde la primera asignación (lo que puede ocurrir en diferentes ciclos de arranque del kernel), esto lleva a:<br /> <br /> 1. Un desbordamiento de búfer de pila (escritura OOB) en las llamadas a memcpy_fromio()<br /> 2. Una lectura OOB posterior cuando ramoops_pstore_read() accede al búfer usando el old_log_size incorrecto (más grande)<br /> <br /> El splat de KASAN se vería similar a:<br /> BUG: KASAN: slab-out-of-bounds en ramoops_pstore_read+0x...<br /> Lectura de tamaño N en la dirección ... por la tarea ...<br /> <br /> Es probable que las condiciones sean extremadamente difíciles de alcanzar:<br /> <br /> 0. Fallo con una escritura de ramoops de menos de record-max-size bytes.<br /> 1. Reinicio: ramoops se registra, pstore_get_records(0) lee el fallo antiguo, asigna old_log con tamaño X<br /> 2. Gestor de fallos registrado, temporizador iniciado (si pstore_update_ms &gt;= 0)<br /> 3. Ocurre un oops (no fatal, el sistema continúa)<br /> 4. pstore_dump() escribe el oops a través de ramoops_pstore_write() tamaño Y (&gt;X)<br /> 5. pstore_new_entry = 1, se llama a pstore_timer_kick()<br /> 6. El sistema continúa ejecutándose (no es un oops de pánico)<br /> 7. El temporizador se activa después de pstore_update_ms milisegundos<br /> 8. pstore_timefunc() ? schedule_work() ? pstore_dowork() ? pstore_get_records(1)<br /> 9. ramoops_get_next_prz() ? persistent_ram_save_old()<br /> 10. buffer_size() devuelve Y, pero old_log es de X bytes<br /> 11. Y &gt; X: memcpy_fromio() desborda la pila<br /> <br /> Requisitos:<br /> - existe un registro de fallo anterior que no llenó el tamaño del registro (casi imposible ya que el gestor de fallos escribe tanto como puede caber en el registro, limitado por el tamaño máximo del registro y el búfer kmsg casi siempre excede el tamaño máximo del registro)<br /> - pstore_update_ms &gt;= 0 (deshabilitado por defecto)<br /> - Oops no fatal (el sistema sobrevive)<br /> <br /> Libera y reasigna el búfer cuando el nuevo tamaño difiere del tamaño previamente asignado. Esto asegura que old_log siempre tenga espacio suficiente para los datos que se están copiando.