Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: agregar verificación para mgmt_alloc_skb() en mgmt_device_connected(). Agregar verificación para el valor de retorno de mgmt_alloc_skb() en mgmt_device_connected() para evitar la desreferencia del puntero nulo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: Agregar verificación para mgmt_alloc_skb() en mgmt_remote_name() Agregar verificación para el valor de retorno de mgmt_alloc_skb() en mgmt_remote_name() para evitar la desreferencia del puntero nulo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mptcp: corrección de 'programación mientras es atómica' en mptcp_pm_nl_append_new_local_addr Si varias solicitudes de conexión intentan crear un endpoint mptcp implícito en paralelo, más de un llamador puede terminar en mptcp_pm_nl_append_new_local_addr porque ninguno encontró la dirección en local_addr_list durante su llamada a mptcp_pm_nl_get_local_id. En este caso, las llamadas new_local_addr concurrentes pueden eliminar la entrada de dirección creada por el llamador anterior. Estas eliminaciones usan synchronize_rcu, pero esto no está permitido en algunos de los contextos donde se puede llamar a esta función. Durante la recepción de paquetes, el llamador puede estar en una sección crítica de lectura de rcu y tener la preempción deshabilitada. Una pila de ejemplo: ERROR: programación mientras es atómica: swapper/2/0/0x00000302 Seguimiento de llamadas: dump_stack_lvl (lib/dump_stack.c:117 (discriminator 1)) dump_stack (lib/dump_stack.c:124) __schedule_bug (kernel/sched/core.c:5943) schedule_debug.constprop.0 (arch/x86/include/asm/preempt.h:33 kernel/sched/core.c:5970) __schedule (arch/x86/include/asm/jump_label.h:27 include/linux/jump_label.h:207 kernel/sched/features.h:29 kernel/sched/core.c:6621) schedule (arch/x86/include/asm/preempt.h:84 kernel/sched/core.c:6804 kernel/sched/core.c:6818) schedule_timeout (kernel/time/timer.c:2160) wait_for_completion (kernel/sched/completion.c:96 kernel/sched/completion.c:116 kernel/sched/completion.c:127 kernel/sched/completion.c:148) __wait_rcu_gp (include/linux/rcupdate.h:311 kernel/rcu/update.c:444) synchronize_rcu (kernel/rcu/tree.c:3609) mptcp_pm_nl_append_new_local_addr (net/mptcp/pm_netlink.c:966 net/mptcp/pm_netlink.c:1061) mptcp_pm_nl_get_local_id (net/mptcp/pm_netlink.c:1164) mptcp_pm_get_local_id (net/mptcp/pm.c:420) subflow_check_req (net/mptcp/subflow.c:98 net/mptcp/subflow.c:213) subflow_v4_route_req (net/mptcp/subflow.c:305) tcp_conn_request (net/ipv4/tcp_input.c:7216) subflow_v4_conn_request (net/mptcp/subflow.c:651) tcp_rcv_state_process (net/ipv4/tcp_input.c:6709) tcp_v4_do_rcv (net/ipv4/tcp_ipv4.c:1934) tcp_v4_rcv (net/ipv4/tcp_ipv4.c:2334) ip_protocol_deliver_rcu (net/ipv4/ip_input.c:205 (discriminator 1)) ip_local_deliver_finish (include/linux/rcupdate.h:813 net/ipv4/ip_input.c:234) ip_local_deliver (include/linux/netfilter.h:314 include/linux/netfilter.h:308 net/ipv4/ip_input.c:254) ip_sublist_rcv_finish (include/net/dst.h:461 net/ipv4/ip_input.c:580) ip_sublist_rcv (net/ipv4/ip_input.c:640) ip_list_rcv (net/ipv4/ip_input.c:675) __netif_receive_skb_list_core (net/core/dev.c:5583 net/core/dev.c:5631) netif_receive_skb_list_internal (net/core/dev.c:5685 net/core/dev.c:5774) napi_complete_done (include/linux/list.h:37 include/net/gro.h:449 include/net/gro.h:444 net/core/dev.c:6114) igb_poll (drivers/net/ethernet/intel/igb/igb_main.c:8244) igb __napi_poll (net/core/dev.c:6582) net_rx_action (net/core/dev.c:6653 net/core/dev.c:6787) handle_softirqs (kernel/softirq.c:553) __irq_exit_rcu (kernel/softirq.c:588 kernel/softirq.c:427 kernel/softirq.c:636) irq_exit_rcu (kernel/softirq.c:651) common_interrupt (arch/x86/kernel/irq.c:247 (discriminator 14)) Este problema parece ser particularmente frecuente si el usuario anuncia un endpoint que tiene una dirección interna y externa diferente. Si se anuncia la dirección externa y ya existen varias conexiones, llegan varios SYN de subflujo en paralelo, lo que suele desencadenar la ejecución durante la creación de las primeras entradas de local_addr_list que contienen la dirección interna. Se soluciona omitiendo el reemplazo de una dirección local implícita existente si se llama mediante mptcp_pm_nl_get_local_id.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/amd/display: Se corrige la comprobación nula de pipe_ctx->plane_state en resource_build_scaling_params. Un problema de desreferencia de puntero nulo podía ocurrir cuando pipe_ctx->plane_state era nulo. Esta corrección añade una comprobación para garantizar que 'pipe_ctx->plane_state' no fuera nulo antes de acceder. Esto evita una desreferencia de puntero nulo. Encontrado mediante revisión de código. (Seleccionado de el commit 63e6a77ccf239337baa9b1e7787cde9fa0462092)

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: hid-steam: Se corrige el error "use-after-free" al desconectar el dispositivo. Al desconectar un dispositivo hid-steam, este debe limpiar el archivo client_hdev utilizado para interceptar el acceso a hidraw. Esto puede provocar la programación de un trabajo diferido para volver a conectar el dispositivo de entrada. Aunque la limpieza cancela el trabajo diferido, esto se realizó antes de que se limpiara el archivo client_hdev, por lo que se reprograma. Este parche corrige el orden para garantizar que el trabajo diferido se cancele correctamente.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvme-tcp: se corrige una posible corrupción de memoria en nvme_tcp_recv_pdu(). nvme_tcp_recv_pdu() no comprueba la validez de la longitud del encabezado. Cuando se habilitan los resúmenes de encabezado, un destino podría enviar un paquete con una longitud de encabezado no válida (p. ej., 255), lo que provoca que nvme_tcp_verify_hdgst() acceda a memoria fuera del área asignada y provoque corrupciones de memoria al sobrescribirla con el resumen calculado. Para solucionar esto, rechace los paquetes con una longitud de encabezado inesperada.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: intel-ish-hid: Se solucionó el problema de use-after-free en hid_ishtp_cl_remove(). Durante la operación `rmmod` del controlador `intel_ishtp_hid`, puede producirse un problema de use-after-free en la función hid_ishtp_cl_remove(). La función hid_ishtp_cl_deinit() se llama antes que ishtp_hid_remove(), lo que puede provocar el acceso a memoria o recursos liberados durante el proceso de eliminación. Seguimiento de llamadas: ? ishtp_cl_send+0x168/0x220 [intel_ishtp] ? Informe de salida oculta + 0xe3/0x150 [oculto] Función de configuración de ishtp oculta + 0xb5/0x120 [intel_ishtp_oculto] Solicitud de ishtp oculta + 0x7b/0xb0 [intel_ishtp_oculto] Solicitud de hardware oculta + 0x1f/0x40 [oculto] Función de configuración del concentrador de sensores + 0x11f/0x190 [concentrador de sensores oculta] Estado de alimentación del sensor oculta + 0x147/0x1e0 [activador del sensor oculta] Reanudación del tiempo de ejecución del sensor oculta + 0x22/0x30 [activador del sensor oculta] Eliminación del concentrador de sensores + 0xa8/0xe0 [concentrador de sensores oculta] Eliminación del dispositivo oculta + 0x49/0xb0 [oculto] hid_destroy_device+0x6f/0x90 [hid] ishtp_hid_remove+0x42/0x70 [intel_ishtp_hid] hid_ishtp_cl_remove+0x6b/0xb0 [intel_ishtp_hid] ishtp_cl_device_remove+0x4a/0x60 [intel_ishtp] ... Además, ishtp_hid_remove() es un apagado a nivel HID, que debería ocurrir antes de la desconexión a nivel ISHTP. Este parche resuelve el problema reordenando las llamadas en hid_ishtp_cl_remove(). La función ishtp_hid_remove() ahora se llama antes que hid_ishtp_cl_deinit().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: iwlwifi: mvm: no intentes hablar con un firmware muerto Esto corrige: bad state = 0 ADVERTENCIA: CPU: 10 PID: 702 en drivers/net/wireless/inel/iwlwifi/iwl-trans.c:178 iwl_trans_send_cmd+0xba/0xe0 [iwlwifi] Seguimiento de llamadas: ? __warn+0xca/0x1c0 ? iwl_trans_send_cmd+0xba/0xe0 [iwlwifi 64fa9ad799a0e0d2ba53d4af93a53ad9a531f8d4] iwl_fw_dbg_clear_monitor_buf+0xd7/0x110 [iwlwifi 64fa9ad799a0e0d2ba53d4af93a53ad9a531f8d4] _iwl_dbgfs_fw_dbg_clear_write+0xe2/0x120 [iwlmvm 0e8adb18cea92d2c341766bcc10b18699290068a] Pregunte si el firmware está activo antes de enviar un comando.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: hns3: Asegúrese de que el reloj ptp se anule y libere si hclge_ptp_get_cycle devuelve un error. Durante la inicialización de ptp, hclge_ptp_get_cycle podría devolver un error y regresar directamente sin anular el registro ni liberarlo. Para evitarlo, llame a hclge_ptp_destroy_clock para anular el registro y liberar el reloj si hclge_ptp_get_cycle falla.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: llc: no usar skb_get() antes de dev_queue_xmit(). syzbot puede bloquear hosts [1], usando llc y dispositivos que no admiten IFF_TX_SKB_SHARING. En este caso, el controlador e1000 llama a eth_skb_pad() mientras el skb está compartido. Simplemente reemplace skb_get() por skb_clone() en net/llc/llc_s_ac.c. Tenga en cuenta que el controlador e1000 podría tener un problema con pktgen, ya que no borra IFF_TX_SKB_SHARING; este es un cambio ortogonal. Necesitamos auditar otros usos de skb_get() en net/llc. [1] ¡ERROR del kernel en net/core/skbuff.c:2178! Oops: código de operación no válido: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 16371 Comm: syz.2.2764 No contaminado 6.14.0-rc4-syzkaller-00052-gac9c34d1e45a #0 Nombre del hardware: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 01/04/2014 RIP: 0010:pskb_expand_head+0x6ce/0x1240 net/core/skbuff.c:2178 Rastreo de llamadas: __skb_pad+0x18a/0x610 net/core/skbuff.c:2466 __skb_put_padto include/linux/skbuff.h:3843 [en línea] skb_put_padto include/linux/skbuff.h:3862 [en línea] eth_skb_pad include/linux/etherdevice.h:656 [en línea] e1000_xmit_frame+0x2d99/0x5800 drivers/net/ethernet/intel/e1000/e1000_main.c:3128 __netdev_start_xmit include/linux/netdevice.h:5151 [en línea] netdev_start_xmit include/linux/netdevice.h:5160 [en línea] xmit_one net/core/dev.c:3806 [en línea] dev_hard_start_xmit+0x9a/0x7b0 net/core/dev.c:3822 sch_direct_xmit+0x1ae/0xc30 net/sched/sch_generic.c:343 __dev_xmit_skb net/core/dev.c:4045 [en línea] __dev_queue_xmit+0x13d4/0x43e0 net/core/dev.c:4621 dev_queue_xmit include/linux/netdevice.h:3313 [en línea] llc_sap_action_send_test_c+0x268/0x320 net/llc/llc_s_ac.c:144 llc_exec_sap_trans_actions net/llc/llc_sap.c:153 [en línea] llc_sap_next_state net/llc/llc_sap.c:182 [en línea] llc_sap_state_process+0x239/0x510 net/llc/llc_sap.c:209 llc_ui_sendmsg+0xd0d/0x14e0 net/llc/af_llc.c:993 sock_sendmsg_nosec net/socket.c:718 [en línea]

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: gso: corrección de propiedad en __udp_gso_segment. En __udp_gso_segment, el destructor de skb se elimina antes de segmentar el skb, pero la referencia del socket se mantiene intacta. Esto supone un problema si el skb original queda huérfano posteriormente, ya que podemos encontrarnos con el siguiente error: ¡ERROR del kernel en ./include/linux/skbuff.h:3312! (skb_orphan) RIP: 0010:ip_rcv_core+0x8b2/0xca0 Rastreo de llamadas: ip_rcv+0xab/0x6e0 __netif_receive_skb_one_core+0x168/0x1b0 process_backlog+0x384/0x1100 __napi_poll.constprop.0+0xa1/0x370 net_rx_action+0x925/0xe50 Lo anterior puede suceder después de una secuencia de eventos al usar OpenVSwitch, cuando una acción OVS_ACTION_ATTR_USERSPACE precede a una acción OVS_ACTION_ATTR_OUTPUT: 1. Se maneja OVS_ACTION_ATTR_USERSPACE (en do_execute_actions): el skb pasa por queue_gso_packets y luego __udp_gso_segment, donde se elimina su destructor. 2. Los datos de los segmentos se copian y se envían al espacio de usuario. 3. Se gestiona OVS_ACTION_ATTR_OUTPUT (en do_execute_actions) y se envía el mismo skb original a su ruta. 4. Si posteriormente se encuentra con skb_orphan, se detecta el error. Para solucionarlo, elimine también la referencia al socket en __udp_gso_segment.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: HID: intel-ish-hid: soluciona el problema de use-after-free en ishtp_hid_remove() El sistema puede experimentar un bloqueo aleatorio unos minutos después de eliminar el controlador. Este problema se produce debido a la gestión incorrecta de la liberación de memoria en la función ishtp_hid_remove(). La función actualmente libera `driver_data` directamente dentro del bucle que destruye los dispositivos HID, lo que puede llevar al acceso a la memoria liberada. Específicamente, `hid_destroy_device()` usa `driver_data` cuando llama a `hid_ishtp_set_feature()` para apagar el sensor, por lo que liberar `driver_data` de antemano puede resultar en el acceso a memoria no válida. Este parche resuelve el problema almacenando `driver_data` en una variable temporal antes de llamar a `hid_destroy_device()` y luego liberando `driver_data` después de que se destruye el dispositivo.