Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: hwmon: (adc128d818) Se corrigen los desbordamientos de línea observados al escribir los atributos de límite DIV_ROUND_CLOSEST() después de que kstrtol() genere un desbordamiento de línea si el usuario proporciona un número negativo grande, como -9223372036854775808. Se soluciona reordenando las operaciones clamp_val() y DIV_ROUND_CLOSEST().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: pci/hotplug/pnv_php: Se soluciona el fallo del controlador hotplug en Powernv El controlador hotplug para powerpc (pci/hotplug/pnv_php.c) provoca un fallo del kernel cuando intentamos desconectar/deshabilitar en caliente el conmutador/puente PCIe del PHB. El fallo se produce porque, aunque la estructura de datos MSI se ha liberado durante la ruta de deshabilitación/desconexión en caliente y se le ha asignado NULL, aún durante la anulación del registro el código estaba intentando de nuevo deshabilitar explícitamente el MSI, lo que provoca la desreferencia del puntero NULL y el fallo del kernel. El parche corrige la comprobación durante la ruta de anulación del registro para evitar invocar pci_disable_msi/msix() ya que su estructura de datos ya está liberada.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: fou: Se ha corregido un null-ptr-deref en GRO. Observamos un null-ptr-deref en fou_gro_receive() al apagar un host. [0] El puntero NULL es sk->sk_user_data y el desplazamiento 8 es del protocolo en la estructura fou. Cuando se llama a fou_release() debido al desmantelamiento de netns o al desmantelamiento explícito del túnel, udp_tunnel_sock_release() establece NULL en sk->sk_user_data. Luego, el socket del túnel se destruye después de un único período de gracia de RCU. Por lo tanto, udp4_gro_receive() en vuelo podría encontrar el socket y ejecutar el controlador FOU GRO, donde sk->sk_user_data podría ser NULL. Usemos rcu_dereference_sk_user_data() en fou_from_sock() y agreguemos comprobaciones NULL en los controladores FOU GRO. [0]: ERROR: desreferencia de puntero NULL del kernel, dirección: 0000000000000008 PF: acceso de lectura del supervisor en modo kernel PF: error_code(0x0000) - página no presente PGD 80000001032f4067 P4D 80000001032f4067 PUD 103240067 PMD 0 SMP PTI CPU: 0 PID: 0 Comm: swapper/0 No contaminado 5.10.216-204.855.amzn2.x86_64 #1 Nombre del hardware: Amazon EC2 c5.large/, BIOS 1.0 16/10/2017 RIP: 0010:fou_gro_receive (net/ipv4/fou.c:233) [fou] Código: 41 5f c3 cc cc cc cc e8 e7 2e 69 f4 0f 1f 80 00 00 00 00 0f 1f 44 00 00 49 89 f8 41 54 48 89 f7 48 89 d6 49 8b 80 88 02 00 00 <0f> b6 48 08 0f b7 42 4a 66 25 fd fd 80 cc 02 66 89 42 4a 0f b6 42 RSP: 0018:ffffa330c0003d08 EFLAGS: 00010297 RAX: 0000000000000000 RBX: ffff93d9e3a6b900 RCX: 0000000000000010 RDX: ffff93d9e3a6b900 RSI: ffff93d9e3a6b900 RDI: ffff93dac2e24d08 RBP: ffff93d9e3a6b900 R08: ffff93dacbce6400 R09: 000000000000002 R10: 000000000000000 R11: ffffffffb5f369b0 R12: ffff93dacbce6400 R13: ffff93dac2e24d08 R14: 0000000000000000 R15: ffffffffb4edd1c0 FS: 0000000000000000(0000) GS:ffff93daee800000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000008 CR3: 0000000102140001 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Seguimiento de llamadas: ? show_trace_log_lvl (arch/x86/kernel/dumpstack.c:259) ? __die_body.cold (arch/x86/kernel/dumpstack.c:478 arch/x86/kernel/dumpstack.c:420) ? no_context (arch/x86/mm/fault.c:752) ? asm_exc_page_fault (arch/x86/include/asm/idtentry.h:571) ? fou_gro_receive (net/ipv4/fou.c:233) [fou] udp_gro_receive (include/linux/netdevice.h:2552 net/ipv4/udp_offload.c:559) udp4_gro_receive (net/ipv4/udp_offload.c:604) inet_gro_receive (net/ipv4/af_inet.c:1549 (discriminador 7)) dev_gro_receive (net/core/dev.c:6035 (discriminador 4)) napi_gro_receive (net/core/dev.c:6170) ena_clean_rx_irq (drivers/amazon/net/ena/ena_netdev.c:1558) [ena] ena_io_poll (controladores/amazon/net/ena/ena_netdev.c:1742) [ena] napi_poll (net/core/dev.c:6847) net_rx_action (net/core/dev.c:6917) __do_softirq (arch/x86/include/asm/jump_label.h:25 include/linux/jump_label.h:200 include/trace/events/irq.h:142 kernel/softirq.c:299) asm_call_irq_on_stack (arch/x86/entry/entry_64.S:809) do_softirq_own_stack (arch/x86/include/asm/irq_stack.h:27 arch/x86/include/asm/irq_stack.h:77 arch/x86/kernel/irq_64.c:77) irq_exit_rcu (kernel/softirq.c:393 kernel/softirq.c:423 kernel/softirq.c:435) interrupción_común (arch/x86/kernel/irq.c:239) interrupción_común_asm (arch/x86/include/asm/idtentry.h:626) RIP: 0010:acpi_idle_do_entry (arch/x86/include/asm/irqflags.h:49 arch/x86/include/asm/irqflags.h:89 drivers/acpi/processor_idle.c:114 drivers/acpi/processor_idle.c:575) Código: 8b 15 d1 3c c4 02 ed c3 cc cc cc cc 65 48 8b 04 25 40 ef 01 00 48 8b 00 a8 08 75 eb 0f 1f 44 00 00 0f 00 2d d5 09 55 00 fb f4 c3 cc cc cc cc e9 ser fc ff ff 66 66 2e 0f 1f 84 00 00 00 00 00 RSP: 0018:ffffffffb5603e58 EFLAGS: 00000246 RAX: 0000000000004000 RBX: ffff93dac0929c00 RCX: ffff93daee833900 RDX: ffff93daee800000 RSI: ffff93d ---truncado---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ice: Agregar netif_device_attach/detach en el flujo de reinicio de PF Las devoluciones de llamadas de Ethtool se pueden ejecutar mientras el reinicio está en progreso e intentar acceder a los recursos eliminados, por ejemplo, obtener configuraciones de coalesce puede resultar en una desreferencia de puntero NULL que se ve a continuación. Pasos de reproducción: Una vez que el controlador esté completamente inicializado, active el reinicio: # echo 1 > /sys/class/net//device/reset cuando el reinicio esté en progreso intente obtener la configuración de coalesce usando ethtool: # ethtool -c ERROR: desreferencia de puntero NULL del núcleo, dirección: 0000000000000020 PGD 0 P4D 0 Oops: Oops: 0000 [#1] PREEMPT SMP PTI CPU: 11 PID: 19713 Comm: ethtool Tainted: GS 6.10.0-rc7+ #7 RIP: 0010:ice_get_q_coalesce+0x2e/0xa0 [ice] RSP: 0018:ffffbab1e9bcf6a8 EFLAGS: 00010206 RAX: 0000000000000000c RBX: ffff94512305b028 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff9451c3f2e588 RDI: ffff9451c3f2e588 RBP: 000000000000000 R08: 000000000000000 R09: 0000000000000000 R10: ffff9451c3f2e580 R11: 000000000000001f R12: ffff945121fa9000 R13: ffffbab1e9bcf760 R14: 0000000000000013 R15: ffffffff9e65dd40 FS: 00007faee5fbe740(0000) GS:ffff94546fd80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 000000080050033 CR2: 000000000000020 CR3: 0000000106c2e005 CR4: 00000000001706f0 Seguimiento de llamadas: ice_get_coalesce+0x17/0x30 [ice] coalesce_prepare_data+0x61/0x80 ethnl_default_doit+0xde/0x340 genl_family_rcv_msg_doit+0xf2/0x150 genl_rcv_msg+0x1b3/0x2c0 netlink_rcv_skb+0x5b/0x110 genl_rcv+0x28/0x40 netlink_unicast+0x19c/0x290 netlink_sendmsg+0x222/0x490 __sys_sendto+0x1df/0x1f0 __x64_sys_sendto+0x24/0x30 do_syscall_64+0x82/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e DESCANSE EN PÉRDIDA: 0033:0x7faee60d8e27 Llamar a netif_device_detach() antes del reinicio hace que el núcleo de red no llame al controlador cuando se emite el comando ethtool, el intento de ejecutar un comando ethtool durante el reinicio dará como resultado el siguiente mensaje: error de netlink: No existe dicho dispositivo en lugar de la desreferencia de puntero NULL. Una vez que se realiza el reinicio y se ejecuta ice_rebuild(), se llama a netif_device_attach() para permitir que las operaciones de ethtool se realicen nuevamente de manera segura.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb: cliente: se corrige la doble colocación de @cfile en smb2_rename_path() Si se llama a smb2_set_path_attr() con un @cfile válido y se devuelve -EINVAL, debemos llamar a cifs_get_writable_path() nuevamente ya que la referencia de @cfile ya fue descartada por la llamada anterior a smb2_compound_op().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: misc: fastrpc: Fix double free of 'buf' in error path smatch Warning: drivers/misc/fastrpc.c:1926 fastrpc_req_mmap() error: double free of 'buf' En la ruta de error fastrpc_req_mmap(), el búfer fastrpc se libera en fastrpc_req_munmap_impl() si la anulación del mapa se realiza correctamente. Pero al final, hay una llamada incondicional a fastrpc_buf_free(). Por lo tanto, el caso anterior activa la doble liberación del búfer fastrpc.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: cachefiles: Establezca el tamaño máximo de subsolicitud para escrituras de caché en MAX_RW_COUNT Establezca el tamaño máximo de una subsolicitud que escribe en cachefiles en MAX_RW_COUNT para que no sobrepasemos la escritura máxima que podemos realizar en el sistema de archivos de respaldo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: btnxpuart: corrige la desreferencia de puntero nulo en btnxpuart_flush() Esto agrega una verificación antes de liberar rx->skb en las funciones flush y close para manejar el bloqueo del kernel observado al eliminar el controlador después de que falla la descarga de FW o antes de que se complete la descarga de FW. dmesg log: [ 54.634586] No se puede manejar la desreferencia del puntero NULL del núcleo en la dirección virtual 0000000000000080 [ 54.643398] Información de aborto de memoria: [ 54.646204] ESR = 0x0000000096000004 [ 54.649964] EC = 0x25: DABT (EL actual), IL = 32 bits [ 54.655286] SET = 0, FnV = 0 [ 54.658348] EA = 0, S1PTW = 0 [ 54.661498] FSC = 0x04: error de traducción de nivel 0 [ 54.666391] Información de aborto de datos: [ 54.669273] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 54.674768] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 54.674771] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 54.674775] pgtable del usuario: páginas de 4k, VA de 48 bits, pgdp=0000000048860000 [ 54.674780] [0000000000000080] pgd=000000000000000, p4d=0000000000000000 [ 54.703880] Error interno: Ups: 0000000096000004 [#1] PREEMPT SMP [ 54.710152] Módulos vinculados en: btnxpuart(-) superposición fsl_jr_uio caam_jr caamkeyblob_desc caamhash_desc caamalg_desc crypto_engine authenc libdes crct10dif_ce polyval_ce polyval_generic snd_soc_imx_spdif snd_soc_imx_card snd_soc_ak5558 snd_soc_ak4458 error de seguridad de caam snd_soc_fsl_micfil snd_soc_fsl_spdif snd_soc_fsl_sai snd_soc_fsl_utils imx_pcm_dma gpio_ir_recv rc_core Fusible sch_fq_codel [ 54.744357] CPU: 3 PID: 72 Comm: kworker/u9:0 No contaminado 6.6.3-otbr-g128004619037 #2 [ 54.744364] Nombre del hardware: Placa EVK FSL i.MX8MM (DT) [ 54.744368] Cola de trabajo: hci0 hci_power_on [ 54.757244] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 54.757249] pc : kfree_skb_reason+0x18/0xb0 [ 54.772299] lr : btnxpuart_flush+0x40/0x58 [btnxpuart] [54.782921] sp: ffff8000805ebca0 [54.782923] x29: ffff8000805ebca0 x28: ffffa5c6cf1869c0 x27: ffffa5c6cf186000 [54.782931] x26: 852400 x25: ffff377b848523c0 x24: ffff377b845e7230 [ 54.782938] x23: ffffa5c6ce8dbe08 x22: ffffa5c6ceb65410 x21: 00000000ffffff92 [ 54.782945] ffffa5c6ce8dbe98 x19: ffffffffffffffac x18: ffffffffffffffff [ 54.807651] x17: 0000000000000000 x16: ffffa5c6ce2824ec x15: ffff8001005eb857 [ 54.821917] x14: 0000000000000000 x13: ffffa5c6cf1a02e0 x12: 0000000000000642 [ 54.821924] x11: 0000000000000040 x10: ffffa5c6cf19d690 x9: ffffa5c6cf19d688 [ 54.821931] x8 : ffff377b86000028 x7 : 0000000000000000 x6 : 0000000000000000 [ 54.821938] x5 : ffff377b86000000 x4 : 0000000000000000 x3 : 0000000000000000 [ 54.843331] x2 : 0000000000000000 x1 : 0000000000000002 x0 : ffffffffffffffac [ 54.857599] Rastreo de llamadas: [ 54.857601] kfree_skb_reason+0x18/0xb0 [ 54.863878] btnxpuart_flush+0x40/0x58 [ 54.863888] hci_dev_open_sync+0x3a8/0xa04 [ 54.872773] hci_power_on+0x54/0x2e4 [ 54.881832] proceso_uno_trabajo+0x138/0x260 [ 54.881842] subproceso_trabajador+0x32c/0x438 [ 54.881847] kthread+0x118/0x11c [ 54.881853] ret_from_fork+0x10/0x20 [ 54.896406] Código: a9be7bfd 910003fd f9000bf3 aa0003f3 (b940d400) [ 54.896410] ---[ fin de seguimiento 0000000000000000 ]---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: smb/server: se corrige la posible eliminación de referencia nula de lease_ctx_info en smb2_open(). La eliminación de referencia nula de lease_ctx_info ocurrirá cuando (req_op_level == SMB2_OPLOCK_LEVEL_LEASE) y parse_lease_state() devuelvan NULL. Corrija esto verificando si 'lease_ctx_info' es NULL. Además, elimine los paréntesis redundantes en parse_durable_handle_context().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ublk_drv: se corrige la desreferencia de puntero NULL en ublk_ctrl_start_recovery() Cuando se envían dos comandos UBLK_CMD_START_USER_RECOVERY, el primero establece 'ubq->ubq_daemon' en NULL, y el segundo activa WARN en ublk_queue_reinit() y posteriormente un problema de desreferencia de puntero NULL. Arréglelo agregando la comprobación en ublk_ctrl_start_recovery() y regrese inmediatamente en caso de cero 'ub->nr_queues_ready'. ERROR: desreferencia de puntero NULL del kernel, dirección: 0000000000000028 RIP: 0010:ublk_ctrl_start_recovery.constprop.0+0x82/0x180 Call Trace: ? __die+0x20/0x70 ? page_fault_oops+0x75/0x170 ? exc_page_fault+0x64/0x140 ? asm_exc_page_fault+0x22/0x30 ? ublk_ctrl_start_recovery.constprop.0+0x82/0x180 ublk_ctrl_uring_cmd+0x4f7/0x6c0 ? pick_next_task_idle+0x26/0x40 io_uring_cmd+0x9a/0x1b0 io_issue_sqe+0x193/0x3f0 io_wq_submit_work+0x9b/0x390 io_worker_handle_work+0x165/0x360 io_wq_worker+0xcb/0x2f0 ? finish_task_switch.isra.0+0x203/0x290 ? finish_task_switch.isra.0+0x203/0x290 ? __pfx_io_wq_worker+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_io_wq_worker+0x10/0x10 ret_from_fork_asm+0x1a/0x30

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvmet-tcp: corrige el fallo del kernel si falla la asignación de comandos Si la asignación de comandos falla en nvmet_tcp_alloc_cmds(), el kernel se bloquea en nvmet_tcp_release_queue_work() debido a una desreferencia de puntero NULL. nvmet: no se pudo instalar la cola 0 cntlid 1 ret 6 No se puede manejar la desreferencia de puntero NULL del kernel en la dirección virtual 000000000000008 Corrija el error estableciendo queue->nr_cmds en cero en caso de que nvmet_tcp_alloc_cmd() falle.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: VMCI: Arreglar el use after free al eliminar un recurso en vmci_resource_remove() Al eliminar un recurso de vmci_resource_table en vmci_resource_remove(), la búsqueda se realiza utilizando el identificador del recurso comparando los campos de contexto y recurso. Sin embargo, es posible crear dos recursos con diferentes tipos pero el mismo identificador (mismo contexto y campos de recurso). Al intentar eliminar uno de los recursos, es posible que vmci_resource_remove() no elimine el deseado, pero el objeto aún se liberará como en el caso del tipo de datagrama en vmci_datagram_destroy_handle(). vmci_resource_table aún mantendrá un puntero a este recurso liberado, lo que conduce a una vulnerabilidad de use after free. ERROR: KASAN: use after free en vmci_handle_is_equal include/linux/vmw_vmci_defs.h:142 [en línea] ERROR: KASAN: use after free en vmci_resource_remove+0x3a1/0x410 drivers/misc/vmw_vmci/vmci_resource.c:147 Lectura de tamaño 4 en la dirección ffff88801c16d800 por la tarea syz-executor197/1592 Seguimiento de llamadas: __dump_stack lib/dump_stack.c:88 [en línea] dump_stack_lvl+0x82/0xa9 lib/dump_stack.c:106 print_address_description.constprop.0+0x21/0x366 mm/kasan/report.c:239 __kasan_report.cold+0x7f/0x132 mm/kasan/report.c:425 kasan_report+0x38/0x51 mm/kasan/report.c:442 vmci_handle_is_equal include/linux/vmw_vmci_defs.h:142 [en línea] vmci_resource_remove+0x3a1/0x410 drivers/misc/vmw_vmci/vmci_resource.c:147 vmci_qp_broker_detach+0x89a/0x11b9 drivers/misc/vmw_vmci/vmci_queue_pair.c:2182 ctx_free_ctx+0x473/0xbe1 controladores/misc/vmw_vmci/vmci_context.c:444 kref_put include/linux/kref.h:65 [en línea] vmci_ctx_put controladores/misc/vmw_vmci/vmci_context.c:497 [en línea] vmci_ctx_destroy+0x170/0x1d6 controladores/misc/vmw_vmci/vmci_context.c:195 vmci_host_close+0x125/0x1ac controladores/misc/vmw_vmci/vmci_host.c:143 __fput+0x261/0xa34 fs/file_table.c:282 task_work_run+0xf0/0x194 kernel/task_work.c:164 tracehook_notify_resume include/linux/tracehook.h:189 [en línea] exit_to_user_mode_loop+0x184/0x189 kernel/entry/common.c:187 exit_to_user_mode_prepare+0x11b/0x123 kernel/entry/common.c:220 __syscall_exit_to_user_mode_work kernel/entry/common.c:302 [en línea] syscall_exit_to_user_mode+0x18/0x42 kernel/entry/common.c:313 do_syscall_64+0x41/0x85 arch/x86/entry/common.c:86 entry_SYSCALL_64_after_hwframe+0x6e/0x0 Este cambio garantiza que el tipo también se verifique al eliminar el recurso de vmci_resource_table en Eliminación de recursos vmci().