Vulnerabilidades

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: f2fs: corrección para realizar una verificación de integridad en el indicador F2FS_INLINE_DATA en el inodo durante GC syzbot informa un error de f2fs como se muestra a continuación: ------------[ cortar aquí ] ------------ ¡ERROR del kernel en fs/f2fs/inline.c:258! CPU: 1 PID: 34 Comm: kworker/u8:2 No contaminado 6.9.0-rc6-syzkaller-00012-g9e4bc4bcae01 #0 RIP: 0010:f2fs_write_inline_data+0x781/0x790 fs/f2fs/inline.c:258 Seguimiento de llamadas: f2fs_write_single_data _página +0xb65/0x1d60 fs/f2fs/data.c:2834 f2fs_write_cache_pages fs/f2fs/data.c:3133 [en línea] __f2fs_write_data_pages fs/f2fs/data.c:3288 [en línea] f2fs_write_data_pages+0x1efe/0x3a90 fs/f2 fs/datos. c:3315 do_writepages+0x35b/0x870 mm/page-writeback.c:2612 __writeback_single_inode+0x165/0x10b0 fs/fs-writeback.c:1650 writeback_sb_inodes+0x905/0x1260 fs/fs-writeback.c:1941 wb_writeback+0x457/ 0xce0 fs/fs-writeback.c:2117 wb_do_writeback fs/fs-writeback.c:2264 [en línea] wb_workfn+0x410/0x1090 fs/fs-writeback.c:2304 Process_one_work kernel/workqueue.c:3254 [en línea] Process_scheduled_works+0xa12 /0x17c0 kernel/workqueue.c:3335 trabajador_thread+0x86d/0xd70 kernel/workqueue.c:3416 kthread+0x2f2/0x390 kernel/kthread.c:388 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm +0x1a/0x30 arch/x86/entry/entry_64.S:244 La causa principal es: el inodo inline_data puede ser difuso, de modo que pueda haber un blkaddr válido en su nodo directo, una vez que f2fs activa el GC en segundo plano para migrar el bloque, lo hará presione f2fs_bug_on() durante la reescritura de la página sucia. Agreguemos una verificación de cordura en el indicador F2FS_INLINE_DATA en el inodo durante la GC, de modo que pueda prohibir la migración del bloque de datos del inodo inline_data para su reparación.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: jfs: corrige null ptr deref en dtInsertEntry [syzbot informó] falla de protección general, probablemente para dirección no canónica 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr -deref en rango [0x0000000000000008-0x000000000000000f] CPU: 0 PID: 5061 Comm: syz-executor404 No contaminado 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Nombre de hardware: Google Google Compute Engine/Google Compute Engine, BIOS Google 03 /27 /2024 RIP: 0010:dtInsertEntry+0xd0c/0x1780 fs/jfs/jfs_dtree.c:3713 ... [Analizar] En dtInsertEntry(), cuando el puntero h tiene el mismo valor que p, después de escribir el nombre en UniStrncpy_to_le(), Se borrará p->header.flag. Esto hará que el juicio previamente verdadero "p->header.flag & BT-LEAF" cambie a no después de escribir la operación de nombre, esto lleva a ingresar una rama incorrecta y acceder al objeto no inicializado ih al juzgar esta condición por segunda vez. [Solución] Después de obtener la página, verifique primero la lista libre, si lista libre == 0, salga de dtInsert() y devuelva -EINVAL.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: fou: elimine la advertencia en gue_gro_receive en un protocolo no compatible. Descarte WARN_ON_ONCE en gue_gro_receive si el tipo encapsulado no se conoce o no tiene un controlador GRO. Un paquete de este tipo se construye fácilmente. Syzbot los genera y activa esta advertencia. Elimine la advertencia como se esperaba y no es procesable. La advertencia se redujo previamente de WARN_ON a WARN_ON_ONCE en el commit 270136613bf7 ("fou: Haga WARN_ON_ONCE en gue_gro_receive para devoluciones de llamadas de proto incorrectas").

El enrutador Xiaomi AX9000 tiene una vulnerabilidad de inyección de comando posterior a la autenticación. Esta vulnerabilidad se debe a la falta de filtrado de entrada, lo que permite a un atacante aprovecharla para obtener acceso raíz al dispositivo.

Las versiones 127.0.2651.105 y anteriores de Acrobat Reader se ven afectadas por una vulnerabilidad de escritura fuera de los límites que podría provocar la ejecución de código arbitrario en el contexto del usuario actual. La explotación de este problema requiere la interacción del usuario, ya que la víctima debe abrir un archivo malicioso.

Tenda AX1806 v1.0.0.1 contiene un desbordamiento de pila a través del parámetro serverName en la función form_fast_setting_internet_set.

Tenda AX1806 v1.0.0.1 contiene un desbordamiento de pila a través del parámetro iptv.stb.port en la función setIptvInfo.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: jfs: corrigió el desplazamiento fuera de los límites en dbDiscardAG Al buscar el siguiente bloque log2 más pequeño, BLKSTOL2() devolvió 0, lo que provocó que el exponente de desplazamiento -1 fuera negativo. Este parche soluciona el problema saliendo del bucle directamente cuando se encuentra un cambio negativo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bpf: agrega check_func_arg_reg_off() faltante para evitar accesos a memoria fuera de los límites. Actualmente, es posible pasar un CONST_PTR_TO_DYNPTR modificado a una función global como argumento. Los efectos adversos de esto es que los asistentes de BPF pueden continuar haciendo uso de este CONST_PTR_TO_DYNPTR modificado desde dentro del contexto de la función global, lo que puede resultar involuntariamente en accesos a la memoria fuera de los límites y, por lo tanto, comprometer la estabilidad general del sistema, es decir, [244.157771] ERROR : KASAN: losa fuera de los límites en bpf_dynptr_data+0x137/0x140 [244.161345] Lectura de tamaño 8 en la dirección ffff88810914be68 por tarea test_progs/302 [244.167151] CPU: 0 PID: 302 Comm: test_progs Contaminado: GOE 6.10.0- rc3-00131-g66b586715063 #533 [244.174318] Seguimiento de llamadas: [244.175787] [244.177356] dump_stack_lvl+0x66/0xa0 [244.179531] print_report+0xce/0x670 [244. 182314] ? __virt_addr_valid+0x200/0x3e0 [ 244.184908] kasan_report+0xd7/0x110 [ 244.187408] ? bpf_dynptr_data+0x137/0x140 [244.189714]? bpf_dynptr_data+0x137/0x140 [ 244.192020] bpf_dynptr_data+0x137/0x140 [ 244.194264] bpf_prog_b02a02fdd2bdc5fa_global_call_bpf_dynptr_data+0x22/0x26 [ 244. 198044] bpf_prog_b0fe7b9d7dc3abde_callback_adjust_bpf_dynptr_reg_off+0x1f/0x23 [ 244.202136] bpf_user_ringbuf_drain+0x2c7/0x570 [ 244.204744] ? 0xffffffffc0009e58 [244.206593]? __pfx_bpf_user_ringbuf_drain+0x10/0x10 [ 244.209795] bpf_prog_33ab33f6a804ba2d_user_ringbuf_callback_const_ptr_to_dynptr_reg_off+0x47/0x4b [ 244.215922] 2502480+0x43/0xe3 [ 244.218691] __x64_sys_prlimit64+0x9/0xf0 [ 244.220912] do_syscall_64+0xc1/0x1d0 [ 244.223043] Entry_SYSCALL_64_after_hwframe+0x77/0x7f [244.226458] QEPD: 0033:0x7ffa3eb8f059 [ 244.228582] Código: 08 89 e8 5b 5d c3 66 2e 0f 1f 84 00 00 00 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 8f 1d 0d 00 f7 d8 64 89 01 48 [ 244.241307] RSP: 002b:00007ffa3e9c6eb8 EFLAGS: 00000206 ORIG_RAX: 0000000012e [ 244.246474] RAX: ffffffffffffffda RBX: 00007ffa3e9c7cdc RCX: 00007ffa3eb8f059 [ 244.250478] RDX: 00007ffa3eb162b4 RSI: 0000000000000000 RDI: 00007ffa3e9c7fb0 [ 244.255396] RBP: 00007ffa3e9c6ed0 R08: 00007ffa3e9c76c0 R 09: 0000000000000000 [ 244.260195] R10: 0000000000000000 R11: 0000000000000206 R12: ffffffffffffff80 [ 244.264201] R13: 000000000000001c R 14: 00007ffc5d6b4260 R15: 00007ffa3e1c7000 [ 244.268303 ] Agregue un check_func_arg_reg_off() a la ruta en la que el verificador BPF verifica los argumentos de las funciones globales, específicamente aquellos que toman un argumento de tipo ARG_PTR_TO_DYNPTR | MEM_RDONLY. Además, Process_dynptr_func() no parece realizar ninguna coincidencia de tipos explícita y estricta en el tipo de registro proporcionado, por lo que también hagamos cumplir que un registro del tipo PTR_TO_STACK o CONST_PTR_TO_DYNPTR esté a cargo de la persona que llama.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: nvme: apple: corrige el recuento de referencias del dispositivo Los controladores deben llamar a nvme_uninit_ctrl después de un nvme_init_ctrl exitoso. Divida el lado de la asignación para que sea más fácil navegar por el límite de manejo de errores. El controlador de Apple había estado haciendo esto mal, perdiendo la memoria del dispositivo controlador debido a una falla en el conjunto de etiquetas.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: idpf: corrige UAF al destruir las colas. La segunda confirmación etiquetada comenzaba a veces (muy raramente, pero posible) arrojando ADVERTENCIAS desde net/core/page_pool.c:page_pool_disable_direct_recycling(). Resultó que idpf libera los vectores de interrupción con NAPI incorporadas *antes* de liberar las colas, lo que hace que los punteros NAPI de page_pools conduzcan a la memoria liberada antes de que Libeth destruya estos grupos. No está claro si hay otros accesos a los vectores liberados al destruir las colas, pero de todos modos, generalmente liberamos vectores de cola/interrupción solo cuando las colas se destruyen y se garantiza que no se hará referencia a las NAPI en ninguna parte. Invierta la lógica de asignación y liberación haciendo que los vectores de cola/interrupción se asignen primero y se liberen al final. Los vectores no requieren la presencia de colas, por lo que esto es seguro. Además, este cambio permite eliminar esa cola inútil->limpieza del puntero q_vector, ya que los vectores siguen siendo válidos al liberar las colas (+ ambos se liberan dentro de una función, por lo que no está claro por qué anular los punteros).

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: bnxt_en: corrige la memoria fuera de los límites en bnxt_fill_hw_rss_tbl() Una confirmación reciente modificó el código en __bnxt_reserve_rings() para configurar la tabla de direccionamiento indirecto RSS predeterminada solo cuando el número de Los anillos RX están cambiando. Si bien esto funciona para firmware más nuevo que requiere reservas de anillo RX, provoca la regresión en firmware más antiguo que no requiere reservas de anillo RX (BNXT_NEW_RM() devuelve falso). Con firmware anterior, no se requieren reservas de anillo RX y, por lo tanto, hw_resc->resv_rx_rings no siempre está configurado en el valor adecuado. La comparación: if (old_rx_rings != bp->hw_resc.resv_rx_rings) en __bnxt_reserve_rings() puede ser falso incluso cuando los anillos RX están cambiando. Esto hará que __bnxt_reserve_rings() omita la configuración de la tabla de direccionamiento indirecto RSS predeterminada para que coincida con el número actual de anillos RX. Posteriormente, esto puede provocar que bnxt_fill_hw_rss_tbl() utilice un índice fuera de rango. Ya tenemos bnxt_check_rss_tbl_no_rmgr() para manejar exactamente este escenario. Solo necesitamos moverlo hacia arriba en bnxt_need_reserve_rings() para que se llame incondicionalmente cuando usemos firmware anterior. Sin la solución, si los anillos TX están cambiando, omitiremos la llamada a bnxt_check_rss_tbl_no_rmgr() y __bnxt_reserve_rings() también puede omitir la llamada a bnxt_set_dflt_rss_indir_tbl() por el motivo explicado en el último párrafo. Sin configurar la tabla de direccionamiento indirecto RSS predeterminada, se produce la regresión: ERROR: KASAN: slab-out-of-bounds in __bnxt_hwrm_vnic_set_rss+0xb79/0xe40 Lectura de tamaño 2 en la dirección ffff8881c5809618 mediante la tarea ethtool/31525 Call Trace: __bnxt_hwrm_vnic_set_rss+0 xb79 /0xe40 bnxt_hwrm_vnic_rss_cfg_p5+0xf7/0x460 __bnxt_setup_vnic_p5+0x12e/0x270 __bnxt_open_nic+0x2262/0x2f30 bnxt_open_nic+0x5d/0xf0 ethnl_set_channels+0x5d4/0 xb30 ethnl_default_set_doit+0x2f1/0x620