Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: printk: Se corrige el desbordamiento de entero con signo al definir LOG_BUF_LEN_MAX. El cambio de 1 << 31 en un entero de 32 bits provoca un desbordamiento de entero con signo, lo que conduce a un comportamiento indefinido. Para evitarlo, convierta 1 a u32 antes de realizar el cambio, lo que garantiza un comportamiento bien definido. Este cambio evita explícitamente cualquier desbordamiento potencial al garantizar que el cambio se produzca en un entero de 32 bits sin signo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvkm: calcula correctamente el espacio disponible del búfer cmdq de GSP r535_gsp_cmdq_push() espera la página disponible en el búfer cmdq de GSP al gestionar una solicitud RPC grande. Cuando ve al menos una página disponible en el cmdq, abandona la espera con la cantidad de páginas de búfer libres en la cola. Desafortunadamente, siempre toma el [puntero de escritura, buf_size) como páginas de búfer disponibles antes de revertir y calcula erróneamente el tamaño de los datos que se deben copiar. Por lo tanto, puede sobrescribir la solicitud RPC que GSP está leyendo actualmente, lo que provoca que GSP se cuelgue debido a una solicitud RPC dañada: [ 549.209389] ------------[ cortar aquí ]------------ [ 549.214010] ADVERTENCIA: CPU: 8 PID: 6314 at drivers/gpu/drm/nouveau/nvkm/subdev/gsp/r535.c:116 r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.225678] Modules linked in: nvkm(E+) gsp_log(E) snd_seq_dummy(E) snd_hrtimer(E) snd_seq(E) snd_timer(E) snd_seq_device(E) snd(E) soundcore(E) rfkill(E) qrtr(E) vfat(E) fat(E) ipmi_ssif(E) amd_atl(E) intel_rapl_msr(E) intel_rapl_common(E) mlx5_ib(E) amd64_edac(E) edac_mce_amd(E) kvm_amd(E) ib_uverbs(E) kvm(E) ib_core(E) acpi_ipmi(E) ipmi_si(E) mxm_wmi(E) ipmi_devintf(E) rapl(E) i2c_piix4(E) wmi_bmof(E) joydev(E) ptdma(E) acpi_cpufreq(E) k10temp(E) pcspkr(E) ipmi_msghandler(E) xfs(E) libcrc32c(E) ast(E) i2c_algo_bit(E) crct10dif_pclmul(E) drm_shmem_helper(E) nvme_tcp(E) crc32_pclmul(E) ahci(E) drm_kms_helper(E) libahci(E) nvme_fabrics(E) crc32c_intel(E) nvme(E) cdc_ether(E) mlx5_core(E) nvme_core(E) usbnet(E) drm(E) libata(E) ccp(E) ghash_clmulni_intel(E) mii(E) t10_pi(E) mlxfw(E) sp5100_tco(E) psample(E) pci_hyperv_intf(E) wmi(E) dm_multipath(E) sunrpc(E) dm_mirror(E) dm_region_hash(E) dm_log(E) dm_mod(E) be2iscsi(E) bnx2i(E) cnic(E) uio(E) cxgb4i(E) cxgb4(E) tls(E) libcxgbi(E) libcxgb(E) qla4xxx(E) [ 549.225752] iscsi_boot_sysfs(E) iscsi_tcp(E) libiscsi_tcp(E) libiscsi(E) scsi_transport_iscsi(E) fuse(E) [last unloaded: gsp_log(E)] [ 549.326293] CPU: 8 PID: 6314 Comm: insmod Tainted: G E 6.9.0-rc6+ #1 [ 549.334039] Hardware name: ASRockRack 1U1G-MILAN/N/ROMED8-NL, BIOS L3.12E 09/06/2022 [ 549.341781] RIP: 0010:r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.347343] Code: 08 00 00 89 da c1 e2 0c 48 8d ac 11 00 10 00 00 48 8b 0c 24 48 85 c9 74 1f c1 e0 0c 4c 8d 6d 30 83 e8 30 89 01 e9 68 ff ff ff <0f> 0b 49 c7 c5 92 ff ff ff e9 5a ff ff ff ba ff ff ff ff be c0 0c [ 549.366090] RSP: 0018:ffffacbccaaeb7d0 EFLAGS: 00010246 [ 549.371315] RAX: 0000000000000000 RBX: 0000000000000012 RCX: 0000000000923e28 [ 549.378451] RDX: 0000000000000000 RSI: 0000000055555554 RDI: ffffacbccaaeb730 [ 549.385590] RBP: 0000000000000001 R08: ffff8bd14d235f70 R09: ffff8bd14d235f70 [ 549.392721] R10: 0000000000000002 R11: ffff8bd14d233864 R12: 0000000000000020 [ 549.399854] R13: ffffacbccaaeb818 R14: 0000000000000020 R15: ffff8bb298c67000 [ 549.406988] FS: 00007f5179244740(0000) GS:ffff8bd14d200000(0000) knlGS:0000000000000000 [ 549.415076] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 549.420829] CR2: 00007fa844000010 CR3: 00000001567dc005 CR4: 0000000000770ef0 [ 549.427963] PKRU: 55555554 [ 549.430672] Call Trace: [ 549.433126] [ 549.435233] ? __warn+0x7f/0x130 [ 549.438473] ? r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.443426] ? report_bug+0x18a/0x1a0 [ 549.447098] ? handle_bug+0x3c/0x70 [ 549.450589] ? exc_invalid_op+0x14/0x70 [ 549.454430] ? asm_exc_invalid_op+0x16/0x20 [ 549.458619] ? r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.463565] r535_gsp_msg_recv+0x46/0x230 [nvkm] [ 549.468257] r535_gsp_rpc_push+0x106/0x160 [nvkm] [ 549.473033] r535_gsp_rpc_rm_ctrl_push+0x40/0x130 [nvkm] [ 549.478422] nvidia_grid_init_vgpu_types+0xbc/0xe0 [nvkm] [ 549.483899] nvidia_grid_init+0xb1/0xd0 [nvkm] [ 549.488420] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.493213] nvkm_device_pci_probe+0x305/0x420 [nvkm] [ 549.498338] local_pci_probe+0x46/ ---truncado---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvkm/gsp: avanza correctamente el puntero de lectura de la cola de mensajes GSP Un mensaje de evento GSP consta de tres partes: encabezado del mensaje, encabezado RPC, cuerpo del mensaje. GSP calcula el número de páginas a escribir a partir del tamaño total de un mensaje GSP. Este comportamiento se puede observar a partir del movimiento del puntero de escritura. Sin embargo, nvkm solo toma el tamaño del encabezado RPC y el cuerpo del mensaje como el tamaño del mensaje al avanzar el puntero de lectura. Al manejar un mensaje GSP de dos páginas en el caso de no reversión, toma erróneamente el cuerpo del mensaje anterior como el encabezado del mensaje del siguiente mensaje. Como la "longitud del mensaje" tiende a ser cero, en el cálculo del tamaño que se debe copiar (0 - tamaño de (encabezado del mensaje)), el tamaño que se debe copiar será "0xffffffxx". También desencadena un pánico del kernel debido a un error de puntero NULL. [ 547.614102] mensaje: 00000f90: ff ff ff ff ff ff ff ff 40 d7 18 fb 8b 00 00 00 ........@....... [ 547.622533] mensaje: 00000fa0: 00 00 00 00 ff ff ff ff ff ff ff 00 00 00 00 ................ [ 547.630965] msj: 00000fb0: ff ff ff ff ff ff ff ff 00 00 00 00 ff ff ff ff ................ [ 547.639397] msj: 00000fc0: ff ff ff ff 00 00 00 00 ff ff ff ff ff ff ff ff ff ................ [ 547.647832] nvkm 0000:c1:00.0: gsp: peek msg rpc fn:0 len:0x0/0xffffffffffffffe0 [ 547.655225] nvkm 0000:c1:00.0: gsp: get msg rpc fn:0 len:0x0/0xffffffffffffffe0 [ 547.662532] ERROR: desreferencia de puntero NULL del núcleo, dirección: 0000000000000020 [ 547.669485] #PF: acceso de lectura del supervisor en modo núcleo [ 547.674624] #PF: error_code(0x0000) - página no presente [ 547.679755] PGD 0 P4D 0 [ 547.682294] Oops: 0000 [#1] PREEMPT SMP NOPTI [ 547.686643] CPU: 22 PID: 322 Comm: kworker/22:1 Contaminado: GE 6.9.0-rc6+ #1 [ 547.694893] Nombre del hardware: ASRockRack 1U1G-MILAN/N/ROMED8-NL, BIOS L3.12E 09/06/2022 [ 547.702626] Cola de trabajo: eventos r535_gsp_msgq_work [nvkm] [ 547.707921] RIP: 0010:r535_gsp_msg_recv+0x87/0x230 [nvkm] [ 547.713375] Código: 00 8b 70 08 48 89 e1 31 d2 4c 89 f7 e8 12 f5 ff ff 48 89 c5 48 85 c0 0f 84 cf 00 00 00 48 81 fd 00 f0 ff ff 0f 87 c4 00 00 00 <8b> 55 10 41 8b 46 30 85 d2 0f 85 f6 00 00 00 83 f8 04 76 10 ba 05 [ 547.732119] RSP: 0018:ffffabe440f87e10 EFLAGS: 00010203 [ 547.737335] RAX: 0000000000000010 RBX: 000000000000000008 RCX: 000000000000003f [ 547.744461] RDX: 0000000000000000 RSI: ffffabe4480a8030 RDI: 0000000000000010 [ 547.751585] RBP: 0000000000000010 R08: 0000000000000000 R09: ffffabe440f87bb0 [ 547.758707] R10: ffffabe440f87dc8 R11: 0000000000000010 R12: 0000000000000000 [ 547.765834] R13: 0000000000000000 R14: ffff9351df1e5000 R15: 0000000000000000 [ 547.772958] FS: 0000000000000000(0000) GS:ffff93708eb00000(0000) knlGS:0000000000000000 [ 547.781035] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 547.786771] CR2: 0000000000000020 CR3: 00000003cc220002 CR4: 0000000000770ef0 [ 547.793896] PKRU: 55555554 [ 547.796600] Rastreo de llamadas: [ 547.799046] [ 547.801152] ? __die+0x20/0x70 [ 547.804211] ? page_fault_oops+0x75/0x170 [ 547.808221] ? print_hex_dump+0x100/0x160 [ 547.812226] ? exc_page_fault+0x64/0x150 [ 547.816152] ? asm_exc_page_fault+0x22/0x30 [ 547.820341] ? r535_gsp_msg_recv+0x87/0x230 [nvkm] [ 547.825184] r535_gsp_msgq_work+0x42/0x50 [nvkm] [ 547.829845] process_one_work+0x196/0x3d0 [ 547.833861] worker_thread+0x2fc/0x410 [ 547.837613] ? __pfx_worker_thread+0x10/0x10 [ 547.841885] kthread+0xdf/0x110 [ 547.845031] ? __pfx_kthread+0x10/0x10 [ 547.848775] ret_from_fork+0x30/0x50 [ 547.852354] ? __pfx_kthread+0x10/0x10 [ 547.856097] ret_from_fork_asm+0x1a/0x30 [ 547.860019] [ 547.862208] Módulos vinculados en: nvkm(E) gsp_log(E) snd_seq_dummy(E) snd_hrtimer(E) snd_seq(E) snd_timer(E) snd_seq_device(E) snd(E) soundcore(E) rfkill(E) qrtr(E) vfat(E) fat(E) ipmi_ssif(E) amd_atl(E) intel_rapl_msr(E) intel_rapl_common(E) amd64_edac(E) mlx5_ ---truncado---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: multitouch: Agregar comprobación NULL en mt_input_configured devm_kasprintf() puede devolver un puntero NULL en caso de error, pero este valor devuelto en mt_input_configured() no se comprueba. Agregar comprobación NULL en mt_input_configured() para controlar el error de desreferencia de puntero NULL del kernel.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ocfs2: gestiona correctamente un error de lectura de enlace simbólico Serie de parches "Convertir ocfs2 para usar folios". Mark hizo una conversión de ocfs2 para usar folios y me lo envió como un parche gigante para revisión ;-) Así que lo rehice como parches individuales y le di crédito a Mark por los parches donde su código es sustancialmente el mismo. No es una mala forma de hacerlo; su parche tenía algunos errores y mis parches tenían algunos errores. Con suerte, todos nuestros errores fueron diferentes entre sí. ¡Y con suerte a Mark le gustan todos los cambios que hice en su código! Este parche (de 23): Si no podemos leer el búfer, asegúrese de desbloquear la página antes de regresar.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: media: uvcvideo: Eliminar punteros colgantes Cuando se escribe un control asíncrono, copiamos un puntero al identificador de archivo que inició la operación. Ese puntero se utilizará cuando el dispositivo termine. Lo que podría ser en cualquier momento en el futuro. Si el usuario cierra ese descriptor de archivo, se liberará su estructura y habrá un puntero colgante por cada control asíncrono pendiente, que el controlador intentará utilizar. Limpie todos los punteros colgantes durante release(). Para evitar agregar una penalización de rendimiento en el caso más común (sin operación asíncrona), se ha introducido un contador con cierta lógica para asegurarse de que se gestiona correctamente.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: media: i2c: ds90ub9x3: Fix extra fwnode_handle_put() Los controladores ub913 y ub953 llaman a fwnode_handle_put(priv->sd.fwnode) como parte de su proceso de eliminación y, si el controlador se elimina varias veces, eventualmente conduce a un "desbordamiento" de put, posiblemente causando corrupción de memoria o falla. fwnode_handle_put() es un remanente del commit 905f88ccebb1 ("media: i2c: ds90ub9x3: Fix sub-device matching"), que cambió el código relacionado con sd.fwnode, pero no eliminó estas llamadas fwnode_handle_put().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: media: intel/ipu6: eliminar solicitud de QoS de latencia de CPU en caso de error Corrija la corrupción de la lista de QoS de latencia de CPU como se muestra a continuación. Ocurre cuando no eliminamos la solicitud de latencia de CPU en la ruta de error y liberamos la memoria correspondiente. [ 30.634378] l7 kernel: list_add corruption. prev->next should be next (ffffffff9645e960), but was 0000000100100001. (prev=ffff8e9e877e20a8). [ 30.634388] l7 kernel: WARNING: CPU: 2 PID: 2008 at lib/list_debug.c:32 __list_add_valid_or_report+0x83/0xa0 [ 30.634640] l7 kernel: Call Trace: [ 30.634650] l7 kernel: [ 30.634659] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634669] l7 kernel: ? __warn.cold+0x93/0xf6 [ 30.634678] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634690] l7 kernel: ? report_bug+0xff/0x140 [ 30.634702] l7 kernel: ? handle_bug+0x58/0x90 [ 30.634712] l7 kernel: ? exc_invalid_op+0x17/0x70 [ 30.634723] l7 kernel: ? asm_exc_invalid_op+0x1a/0x20 [ 30.634733] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634742] l7 kernel: plist_add+0xdd/0x140 [ 30.634754] l7 kernel: pm_qos_update_target+0xa0/0x1f0 [ 30.634764] l7 kernel: cpu_latency_qos_update_request+0x61/0xc0 [ 30.634773] l7 kernel: intel_dp_aux_xfer+0x4c7/0x6e0 [i915 1f824655ed04687c2b0d23dbce759fa785f6d033]

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: tpm: Cambio a kvalloc() en eventlog/acpi.c Se informó el siguiente error en HPE ProLiant D320: [ 10.693310][ T1] tpm_tis STM0925:00: 2.0 TPM (device-id 0x3, rev-id 0) [ 10.848132][ T1] ------------[ cut here ]------------ [ 10.853559][ T1] WARNING: CPU: 59 PID: 1 at mm/page_alloc.c:4727 __alloc_pages_noprof+0x2ca/0x330 [ 10.862827][ T1] Modules linked in: [ 10.866671][ T1] CPU: 59 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.0-lp155.2.g52785e2-default #1 openSUSE Tumbleweed (unreleased) 588cd98293a7c9eba9013378d807364c088c9375 [ 10.882741][ T1] Hardware name: HPE ProLiant DL320 Gen12/ProLiant DL320 Gen12, BIOS 1.20 10/28/2024 [ 10.892170][ T1] RIP: 0010:__alloc_pages_noprof+0x2ca/0x330 [ 10.898103][ T1] Code: 24 08 e9 4a fe ff ff e8 34 36 fa ff e9 88 fe ff ff 83 fe 0a 0f 86 b3 fd ff ff 80 3d 01 e7 ce 01 00 75 09 c6 05 f8 e6 ce 01 01 <0f> 0b 45 31 ff e9 e5 fe ff ff f7 c2 00 00 08 00 75 42 89 d9 80 e1 [ 10.917750][ T1] RSP: 0000:ffffb7cf40077980 EFLAGS: 00010246 [ 10.923777][ T1] RAX: 0000000000000000 RBX: 0000000000040cc0 RCX: 0000000000000000 [ 10.931727][ T1] RDX: 0000000000000000 RSI: 000000000000000c RDI: 0000000000040cc0 La transcripción anterior muestra que ACPI apuntó a un búfer de 16 MiB para los eventos de registro porque RSI se asigna al parámetro 'order' de __alloc_pages_noprof(). Solucione el error pasando de devm_kmalloc() a devm_add_action() y kvmalloc() y devm_add_action().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: PCI: dwc: ep: Impedir cambiar el tamaño/indicadores de BAR en pci_epc_set_bar() En el commit 4284c88fff0e ("PCI: designware-ep: Permitir que pci_epc_set_bar() actualice la dirección del mapa de entrada"), se modificó set_bar() para admitir el cambio dinámico de la dirección física de respaldo de un BAR que ya estaba configurado. Esto significa que se puede llamar a set_bar() dos veces, sin llamar nunca a clear_bar() (ya que llamar a clear_bar() borraría la dirección PCI del BAR asignada por el host). Esto solo se puede hacer si el nuevo tamaño/indicadores de BAR no difieren de la configuración de BAR existente. Agregue estas comprobaciones faltantes. Si permitimos que set_bar() establezca, por ejemplo, un nuevo tamaño de BAR que difiere del tamaño de BAR existente, el nuevo rango de traducción de direcciones será más pequeño que el tamaño de BAR ya determinado por el host, lo que significaría que una lectura más allá del nuevo tamaño de BAR pasaría la iATU sin traducir, lo que podría permitir que el host lea memoria que no pertenece a la nueva estructura pci_epf_bar. Mientras tanto, agregue comentarios que aclaren el soporte para cambiar dinámicamente la dirección física de un BAR. (Lo cual también faltaba).

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: soc: qcom: socinfo: Evitar la lectura fuera de los límites del número de serie En los dispositivos MSM8916, el número de serie expuesto en sysfs es constante y no cambia en los dispositivos individuales. Siempre es: db410c:/sys/devices/soc0$ cat serial_number 2644893864 El firmware utilizado en MSM8916 expone SOCINFO_VERSION(0, 8), que no tiene soporte para el campo serial_num en la estructura socinfo. Existe una comprobación para evitar exponer el número de serie en ese caso, pero no es correcta: Al comprobar el item_size devuelto por SMEM, debemos asegurarnos de que el *final* del serial_num esté dentro de los límites, en lugar de compararlo con el desplazamiento *inicio*. El serial_number que se expone actualmente en los dispositivos MSM8916 es simplemente una lectura fuera de límites de lo que viene después de la estructura sociinfo en SMEM. Solucione esto cambiando offsetof() a offsetofend(), de modo que también se tenga en cuenta el tamaño del campo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KEYS: trusted: dcp: corrige el uso incorrecto de sg con CONFIG_VMAP_STACK=y Con las direcciones de pila vmalloc habilitadas (CONFIG_VMAP_STACK=y), las claves confiables de DCP pueden fallar durante el cifrado y descifrado de la clave de cifrado de blobs a través del controlador de cifrado DCP. Esto se debe al uso incorrecto de sg_init_one() con búferes de pila vmalloc (plain_key_blob). Solucione esto utilizando siempre kmalloc() para los búferes que le damos al controlador de cifrado DCP.