Vulnerabilidades

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net/core: Reparar el disector de flujo ETH_P_1588 Cuando se envía una trama sin formato Ethernet PTP con un tamaño de más de 256 bytes seguido de un patrón 0xff a __skb_flow_dissect, el cálculo del valor nhoff es incorrecto. Por ejemplo: hdr->message_length toma el valor incorrecto (0xffff) y no replica la longitud real del encabezado. En este caso, se anuló el valor 'nhoff' y el encabezado PTP no se analizó correctamente. Esto provoca un fallo del kernel. neto/núcleo: flow_dissector disector de flujo neto/núcleo nhoff = 0x0000000e disector de flujo neto/núcleo hdr->message_length = 0x0000ffff disector de flujo neto/núcleo nhoff = 0x0001000d (desbordamiento u16) ... skb lineal: 00000000: 00 a0 c9 00 00 00 00 a0 c9 00 00 00 88 skb frag: 00000000: f7 ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff El uso del tamaño de la estructura ptp_header permitirá el cálculo corregido del valor nhoff. disector de flujo neto/núcleo nhoff = 0x0000000e disector de flujo neto/núcleo nhoff = 0x00000030 (tamaño de ptp_header) ... skb lineal: 00000000: 00 a0 c9 00 00 00 00 a0 c9 00 00 00 88 f7 ff ff skb lineal: 00000 010:ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff skb lineal: 00000020: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff skb frag: 00000000: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff Seguimiento del kernel: [74.984279] ------------[ cortar aquí ]------------ [ 74.989471] ERROR del kernel en include/linux /skbuff.h:2440! [ 74.995237] código de operación no válido: 0000 [#1] PREEMPT SMP NOPTI [ 75.001098] CPU: 4 PID: 0 Comm: swapper/4 Tainted: GU 5.15.85-intel-ese-standard-lts #1 [ 75.011629] Nombre de hardware: Intel Corporation A-Island (CPU:AlderLake)/A-Island (ID:06), BIOS SB_ADLP.01.01.00.01.03.008.D-6A9D9E73-dirty 30 de marzo de 2023 [ 75.026507] RIP: 0010:eth_type_trans+0xd0/0x130 [ 75.031594] Código: 03 88 47 78 eb c7 8b 47 68 2b 47 6c 48 8b 97 c0 00 00 00 83 f8 01 7e 1b 48 85 d2 74 06 66 83 3a ff 74 09 b8 00 04 00 00 eb ab <0f> 0b b8 00 01 00 00 eb a2 48 85 ff 74 eb 48 8d 54 24 06 31 f6 b9 [ 75.052612] RSP: 0018:ffff9948c0228de0 EFLAGS: 00010297 [ 75.058473] RAX: 0000000 0000003f2 RBX: ffff8e47047dc300 RCX: 0000000000001003 [ 75.066462] RDX: ffff8e4e8c9ea040 RSI : ffff8e4704e0a000 RDI: ffff8e47047dc300 [ 75.074458] RBP: ffff8e4704e2acc0 R08: 00000000000003f3 R09: 0000000000000800 [ 75.082466] R10: 00 0000000000000d R11: ffff9948c0228dec R12: ffff8e4715e4e010 [ 75.090461] R13: ffff9948c0545018 R14: 00000000000000001 R15: 00000000000000800 [ 75.098464] FS: 0000000000000000(0000) GS:ffff8e4e8fb00000(0000) knlGS:00000000000000000 [ 75.107530] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 75.113982] CR2: 00007f5eb3593 4a0 CR3: 0000000150e0a002 CR4: 0000000000770ee0 [ 75.121980] PKRU: 55555554 [ 75.125035] Seguimiento de llamadas: [ 75.127792 ] [75.130063] ? eth_get_headlen+0xa4/0xc0 [ 75.134472] igc_process_skb_fields+0xcd/0x150 [ 75.139461] igc_poll+0xc80/0x17b0 [ 75.143272] __napi_poll+0x27/0x170 [ 75.147192] net_ rx_action+0x234/0x280 [ 75.151409] __do_softirq+0xef/0x2f4 [ 75.155424] irq_exit_rcu+ 0xc7/0x110 [ 75.159432] common_interrupt+0xb8/0xd0 [ 75.163748] [ 75.166112] [ 75.168473] asm_common_interrupt+0x22/0x40 [ 75.173175] RIP: 0010:cpuid le_enter_state+0xe2/0x350 [ 75.178749] Código: 85 c0 0f 8f 04 02 00 00 31 ff e8 39 6c 67 ff 45 84 ff 74 12 9c 58 f6 c4 02 0f 85 50 02 00 00 31 ff e8 52 b0 6d ff fb 45 85 f6 <0f> 88 b1 00 0 0 00 49 63 ce 4c 2b 2c 24 48 89 c8 48 6b d1 68 48 c1 [ 75.199757] RSP: 0018:ffff9948c013bea8 EFLAGS: 00000202 [ 75.205614] RAX: ffff8e4e8fb00000 RBX: ff ffb948bfd23900 RCX: 000000000000001f [ 75.213619] RDX: 0000000000000004 RSI: ffffffff94206161 RDI: ffffffff94212e20 [ 75.221620] RBP: 0000000000000004 R08: 000000117568973a R09: 0000000000000001 [ 75.229622] R10: 000000000000afc8 R11: ffff8e4e8fb29ce4 R12: ffffffff945ae980 [ 75.237628] R13: 000000117568973a R14: 0000000000000004 R15: 0000000000000000 [ 75.245635] ? ---truncado---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfilter: nf_tables: corrige memleak cuando caducan más de 255 elementos Cuando caducan más de 255 elementos, se supone que debemos cambiar a una nueva estructura de contenedor gc. Esto nunca sucede: el tipo u8 se ajustará antes de alcanzar el límite y nft_trans_gc_space() siempre devuelve verdadero. Esto significa que reciclamos la estructura inicial del contenedor gc y perdemos la pista de los elementos anteriores. Mientras lo hace, no elimine 'gc' después de que lo hayamos pasado a call_rcu.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: netfs: solo llame a folio_start_fscache() una vez para cada folio. Si un sistema de archivos de red que utiliza netfs implementa una función abrazadera_longitud(), puede establecer longitudes de subsolicitud más pequeñas que el tamaño de una página. Cuando recorremos las publicaciones en netfs_rreq_unlock_folios() para configurar las publicaciones que se reescribirán, debemos asegurarnos de llamar solo a folio_start_fscache() una vez para cada publicación. De lo contrario, este caso de prueba simple: mount -o fsc,rsize=1024,wsize=1024 127.0.0.1:/export /mnt/nfs dd if=/dev/zero of=/mnt/nfs/file.bin bs=4096 count= 1 1+0 registros en 1+0 registros en salida 4096 bytes (4,1 kB, 4,0 KiB) copiados, 0,0126359 s, 324 kB/s echo 3 > /proc/sys/vm/drop_caches cat /mnt/nfs/file.bin > /dev/null desencadenará un error similar al siguiente: página volcada porque: VM_BUG_ON_FOLIO(folio_test_private_2(folio)) ------------[ cortar aquí ]---------- -- ¡ERROR del kernel en include/linux/netfs.h:44! ... CPU: 5 PID: 134 Comm: kworker/u16:5 Kdump: cargado No contaminado 6.4.0-rc5 ... RIP: 0010:netfs_rreq_unlock_folios+0x68e/0x730 [netfs] ... Seguimiento de llamadas: netfs_rreq_assess+0x497 /0x660 [netfs] netfs_subreq_terminate+0x32b/0x610 [netfs] nfs_netfs_read_completion+0x14e/0x1a0 [nfs] nfs_read_completion+0x2f9/0x330 [nfs] rpc_free_task+0x72/0xa0 [sunrpc] rpc_a sync_release+0x46/0x70 [sunrpc] proceso_one_work+0x3bd/0x710 hilo_trabajador+0x89/0x610 kthread+0x181/0x1c0 ret_from_fork+0x29/0x50

Si a un atacado se le dio acceso a una instancia con la función de administrador o administrador, no existe una autenticación de backend que impida que el atacado cree un nuevo usuario con una función de "administrador" y luego pueda usar esta nueva cuenta para tener privilegios elevados en la instancia

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: cifs: Reparar UAF en cifs_demultiplex_thread() Hay un UAF cuando xfstests en cifs: ERROR: KASAN: use-after-free en smb2_is_network_name_deleted+0x27/0x160 Lectura de tamaño 4 en addr ffff888810103fc08 por tarea cifsd/923 cpu: 1 pid: 923 com: cifsd no contaminado 6.1.0-rc4+ #45 ... llamar a la llamada: dump_stack_lvl+0x34/0x44 print_report+0x171/0x472 kasan_raport+0xad/0x130 kasan_range_range_range_range_range_range_mad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xad/0xy 0x145/0x1a0 smb2_is_network_name_deleted+0x27/0x160 cifs_demultiplex_thread.cold+0x172/0x5a4 kthread+0x165/0x1a0 ret_from_fork+0x1f/0x30 Asignado por la tarea 923: kasan_save_stack+0x1e/ 0x40 kasan_set_track+0x21/0x30 __kasan_slab_alloc+0x54/0x60 kmem_cache_alloc +0x147/0x320 mempool_alloc+0xe1/0x260 cifs_small_buf_get+0x24/0x60 allocate_buffers+0xa1/0x1c0 cifs_demultiplex_thread+0x199/0x10d0 kthread+0x165/0x1a0 ret_from_fork+0x1f/0x30 Liberado por tarea 921: kasan_save_stack+0x1e/0x40 kasan_set_track+0x21/0x30 kasan_save_free_info +0x2a/0x40 ____kasan_slab_free+0x143/0x1b0 kmem_cache_free+0xe3/0x4d0 cifs_small_buf_release+0x29/0x90 SMB2_negotiate+0x8b7/0x1c60 smb2_negotiate+0x51/0x70 cifs_negotiate_protocol+0xf 0/0x160 cifs_get_smb_ses+0x5fa/0x13c0 mount_get_conns+0x7a/0x750 cifs_mount+0x103/0xd00 cifs_smb3_do_mount +0x1dd/0xcb0 smb3_get_tree+0x1d5/0x300 vfs_get_tree+0x41/0xf0 path_mount+0x9b3/0xdd0 __x64_sys_mount+0x190/0x1d0 do_syscall_64+0x35/0x80 Entry_SYSCALL_64_after_hwframe+0x46/0 xb0 La UAF es porque: mount(pid: 921) | cifsd(pid: 923) -------------------------------|------------ ------------------- | cifs_demultiplex_thread SMB2_negotiate | cifs_send_recv | compuesto_send_recv | smb_send_rqst | esperar_para_respuesta | esperar_event_state [1] | | recepción_estándar3 | cifs_handle_standard | manejar_mid | mid->resp_buf = buf; [2] | dequeue_mid [3] MATAR el proceso [4] | resp_iov[i].iov_base = buf | free_rsp_buf [5] | | is_network_name_eliminado [6] | devolución de llamada 1. Después de enviar la solicitud al servidor, espere la respuesta hasta mid->mid_state != ENVIADO; 2. Reciba la respuesta del servidor y configúrelo en medio; 3. Establezca el estado medio en RECIBIDO; 4. Finalice el proceso, el estado medio ya RECIBIDO, obtenga 0; 5. Manejar y liberar la respuesta de negociación; 6. UAF. Se puede reproducir fácilmente agregando algo de retraso en [3] - [6]. Solo la llamada de sincronización tiene el problema ya que la devolución de llamada de la llamada asíncrona se ejecuta en el proceso cifsd. Agregue un estado adicional para marcar el estado medio como LISTO antes de despertar al camarero, luego podrá obtener la respuesta de manera segura.

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: HID: intel-ish-hid: ipc: Deshabilita y vuelve a habilitar el bit ACPI GPE Las plataformas basadas en EHL (Elkhart Lake) proporcionan un servicio OOB (Fuera de banda), que permite despertar dispositivo cuando el sistema está en S5 (estado Soft-Off). Este servicio OOB se puede habilitar/deshabilitar desde la configuración del BIOS. Cuando está habilitado, el dispositivo ISH obtiene la capacidad de activación PME. Para habilitar la activación de PME, el controlador también debe habilitar el bit ACPI GPE. Al reanudar, el BIOS borrará el bit de activación. Por lo tanto, el controlador debe volver a habilitarlo en la función de reanudación para mantener la siguiente capacidad de activación. Pero esta limpieza del bit de activación del BIOS no disminuye el recuento de referencias GPE del sistema operativo interno, por lo que esta reactivación en cada reanudación provocará que el recuento de referencias se desborde. Entonces, primero deshabilite y vuelva a habilitar el bit ACPI GPE usando acpi_disable_gpe().

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: plataforma/x86: think-lmi: corregir fuga de referencia Si se encuentra un atributo duplicado usando kset_find_obj(), se devuelve una referencia a ese atributo que debe eliminarse en consecuencia usando kobject_put( ). Mueva la validación del nombre de la configuración a una función separada para permitir este cambio sin tener que duplicar el código de limpieza para esta configuración. Como nota al margen, se solucionó un error muy similar en el commit 7295a996fdab ("plataforma/x86: dell-sysman: corregir fuga de referencia"), por lo que parece que el error se copió de ese controlador. Compilación probada únicamente.

*** Pendiente de traducción *** Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: net: soluciona el posible desgarro del almacén en neigh_periodic_work() Mientras miraba un informe de syzbot relacionado que involucraba a neigh_periodic_work(), descubrí que olvidé agregar una anotación al eliminar un elemento protegido por RCU de una lista. Los lectores usan rcu_deference(*np), necesitamos usar rcu_assign_pointer() o WRITE_ONCE() en el lado del escritor para evitar que la tienda se rompa. Utilizo rcu_assign_pointer() para tener soporte lockdep, esta fue la elección hecha en neigh_flush_dev().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bpf, sockmap: rechaza las redirecciones de salida de sk_msg a sockets que no son TCP. Con un mapa SOCKMAP/SOCKHASH y un programa sk_msg, el usuario puede dirigir los mensajes enviados desde un socket TCP (s1) para que realmente salgan desde otro socket TCP (s2): tcp_bpf_sendmsg(s1) // = sk_prot->sendmsg tcp_bpf_send_verdict(s1) // __SK_REDIRECT caso tcp_bpf_sendmsg_redir(s2) tcp_bpf_push_locked(s2) tcp_bpf_push(s2) tcp_rate_check_ app_limited(s2) // espera tcp_sock tcp_sendmsg_locked(s2 ) // ídem Hay una suposición codificada en la cadena de llamadas de que el socket de salida (s2) es un socket TCP. Sin embargo, en el commit 122e6c79efe1 ("sock_map: Actualizar comprobaciones de tipo de calcetín para UDP") hemos habilitado redirecciones a sockets que no son TCP. Esto se hizo por el bien de los programas BPF sk_skb. No había ninguna sangría para admitir el caso de uso de envío a salida de sk_msg. Como resultado, los intentos de envío a salida a través de un socket que no es TCP provocan un bloqueo debido a una conversión no válida de sock a tcp_sock: ERROR: desreferencia del puntero NULL del núcleo, dirección: 0000000000000002f... Seguimiento de llamadas: . mostrar_regs+0x60/0x70? __die+0x1f/0x70 ? page_fault_oops+0x80/0x160? do_user_addr_fault+0x2d7/0x800? rcu_is_watching+0x11/0x50? exc_page_fault+0x70/0x1c0? asm_exc_page_fault+0x27/0x30? tcp_tso_segs+0x14/0xa0 tcp_write_xmit+0x67/0xce0 __tcp_push_pending_frames+0x32/0xf0 tcp_push+0x107/0x140 tcp_sendmsg_locked+0x99f/0xbb0 tcp_bpf_push+0x19d/0x3a0 tcp_bpf_sendmsg_redir+0x55/0xd0 tcp_bpf_send_verdict+0x407/0x550 tcp_bpf_sendmsg+0x1a1/0x390 inet_sendmsg+0x6a/0x70 sock_sendmsg+0x9d/0xc0? sockfd_lookup_light+0x12/0x80 __sys_sendto+0x10e/0x160 ? syscall_enter_from_user_mode+0x20/0x60? __this_cpu_preempt_check+0x13/0x20? lockdep_hardirqs_on+0x82/0x110 __x64_sys_sendto+0x1f/0x30 do_syscall_64+0x38/0x90 Entry_SYSCALL_64_after_hwframe+0x63/0xcd Rechace la selección de sockets que no sean TCP como destino de redireccionamiento desde un programa BPF sk_msg para evitar el bloqueo. Cuando lo intente, el usuario recibirá un error EACCES de la llamada al sistema send/sendto/sendmsg().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: nfc: llcp: Agregar bloqueo al modificar la lista de dispositivos La lista de dispositivos necesita mantener su bloqueo asociado al modificarla, o la lista podría corromperse, como descubrió syzbot.