Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: KVM: arm64: vgic-its: Evite posibles UAF en la caché de traducción LPI. Existe un escenario potencial de UAF en el caso de que un caché de traducción LPI se acelere con una operación que invalide la caché, como un comando DISCARD ITS. La raíz del problema es que vgic_its_check_cache() no eleva el refcount en vgic_irq antes de eliminar el bloqueo que serializa los cambios de refcount. Haga que vgic_its_check_cache() aumente el refcount en el vgic_irq devuelto y agregue el decremento correspondiente después de poner en cola la interrupción.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: pwm: corrige el acceso fuera de los límites en of_pwm_single_xlate() Con args->args_count == 2 args->args[2] no está definido. En realidad, las banderas están contenidas en args->args[1].

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: net: dsa: corrige la desreferencia de netdev_priv() antes de verificar los eventos de dispositivos de red que no son DSA Después del compromiso culpable, comenzamos a hacer esta desreferencia para cada evento NETDEV_CHANGEUPPER y NETDEV_PRECHANGEUPPER en el sistema. estructura estática en línea dsa_port *dsa_user_to_port(const struct net_device *dev) { struct dsa_user_priv *p = netdev_priv(dev); devolver p->dp; } Lo cual es obviamente falso, porque no todos los net_devices tienen un netdev_priv() de tipo struct dsa_user_priv. Pero la estructura dsa_user_priv es bastante pequeña, y p->dp significa desreferenciar 8 bytes comenzando con el desplazamiento 16. La mayoría de los controladores asignan esa cantidad de memoria privada de todos modos, lo que hace que nuestro acceso no sea un error, y descartamos los datos falsos rápidamente después, por lo que esto no fue así. atrapó. Pero la interfaz ficticia es algo especial porque llama a alloc_netdev() con un tamaño privado de 0. Por lo tanto, cada desreferencia de netdev_priv() no es válida, y obtenemos esto cuando emitimos un evento NETDEV_PRECHANGEUPPER con una VLAN como nueva superior: $ ip enlace agregar dummy1 tipo dummy $ ip enlace agregar enlace dummy1 nombre dummy1.100 tipo vlan id 100 [43.309174] ============================= ======================================= [43.316456] ERROR: KASAN: losa fuera de -bounds en dsa_user_prechangeupper+0x30/0xe8 [ 43.323835] Lectura de tamaño 8 en addr ffff3f86481d2990 por tarea ip/374 [ 43.330058] [ 43.342436] Rastreo de llamadas: [ 43.366542] dsa_user_prechangeupper+0x30/0xe8 [ 43.371024] dsa_user_netdevice_event+0xb38/0xee8 [ 43.375768 ] notifier_call_chain+0xa4/0x210 [ 43.379985] raw_notifier_call_chain+0x24/0x38 [ 43.384464] __netdev_upper_dev_link+0x3ec/0x5d8 [ 43.389120] netdev_upper_dev_link+0x70/0xa8 [ 43.3 93424] registrar_vlan_dev+0x1bc/0x310 [ 43.397554] vlan_newlink+0x210/0x248 [ 43.401247] rtnl_newlink +0x9fc/0xe30 [ 43.404942] rtnetlink_rcv_msg+0x378/0x580 Evite los errores del kernel desreferenciando después de la verificación de tipo, como es habitual.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: mlxsw: espectro_acl_tcam: corrige la desreferencia del puntero NULL en la ruta de error Al llamar a mlxsw_sp_acl_tcam_region_destroy() desde una ruta de error después de no poder adjuntar la región a un grupo de ACL, alcanzamos una desreferencia del puntero NULL al 'región->grupo->tcam' [1]. Solucione recuperando el puntero 'tcam' usando mlxsw_sp_acl_to_tcam(). [1] ERROR: desreferencia del puntero NULL del kernel, dirección: 0000000000000000 [...] RIP: 0010:mlxsw_sp_acl_tcam_region_destroy+0xa0/0xd0 [...] Seguimiento de llamadas: mlxsw_sp_acl_tcam_vchunk_get+0x88b/0xa20 mlxsw_sp_acl_tcam_ventry_add+0 x25/0xe0 mlxsw_sp_acl_rule_add+0x47/0x240 mlxsw_sp_flower_replace+0x1a9/0x1d0 tc_setup_cb_add+0xdc/0x1c0 fl_hw_replace_filter+0x146/0x1f0 fl_change+0xc17/0x1360 tc_new_tfilter+0x472/0xb90 rtnetlink_rcv_msg+0x313/0x3b 0 netlink_rcv_skb+0x58/0x100 netlink_unicast+0x244/0x390 netlink_sendmsg+0x1e4/0x440 ____sys_sendmsg+0x164/0x260 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xc0 do_syscall_64+0x40/0xe0 Entry_SYSCALL_64_after_hwframe+0x63/0x6b

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: hisi_acc_vfio_pci: actualiza correctamente el puntero de datos de migración al guardar/reanudar Cuando se agregó el soporte PRE_COPY opcional para acelerar la verificación de compatibilidad del dispositivo, no se pudieron actualizar los punteros de datos de guardado/reanudación según el desplazamiento fd. Esto da como resultado la corrupción de los datos de migración y cuando el dispositivo se inicia en el destino, en algunos casos se informa el siguiente error, [ 478.907684] arm-smmu-v3 arm-smmu-v3.2.auto: event 0x10 received: [ 478.913691] arm-smmu-v3 arm-smmu-v3.2.auto: 0x0000310200000010 [ 478.919603] arm-smmu-v3 arm-smmu-v3.2.auto: 0x000002088000007f [ 478.925515] arm-smmu-v3 arm-smmu-v3.2.auto: 0x0000000000000000 [ 478.931425] arm-smmu-v3 arm-smmu-v3.2.auto: 0x0000000000000000 [ 478.947552] hisi_zip 0000:31:00.0: qm_axi_rresp [error status=0x1] found [ 478.955930] hisi_zip 0000:31:00.0: qm_db_timeout [error status=0x400] found [ 478.955944] hisi_zip 0000:31:00.0: qm sq doorbell timeout in function 2

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: nvmet-tcp: soluciona un pánico del kernel cuando el host envía una longitud de PDU H2C no válida. Si el host envía un comando H2CData con un DATAL no válido, el kernel puede fallar en nvmet_tcp_build_pdu_iovec(). No se puede manejar la desreferencia del puntero NULL del kernel en la dirección virtual 0000000000000000 lr: nvmet_tcp_io_work+0x6ac/0x718 [nvmet_tcp] Rastreo de llamadas: Process_one_work+0x174/0x3c8 trabajador_thread+0x2d0/0x3e8 kthread+0x104/0x110 Solucione el error generando un error fatal si DATAL es No es coherente con el tamaño del paquete. Además, la longitud de la PDU nunca debe exceder el parámetro MAXH2CDATA que se ha comunicado al host en nvmet_tcp_handle_icreq().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iommu: no reservar región IOVA de longitud 0 Cuando el gestor de arranque/firmware no configura los framebuffers, su dirección y tamaño son 0 en la propiedad "iommu-addresses". Si la región IOVA está reservada con una longitud de 0, termina corrompiendo el rbtree de IOVA con una entrada que tiene pfn_hi < pfn_lo. Si pretendemos utilizar el controlador de pantalla en el kernel sin framebuffer, entonces las asignaciones IOMMU de pantalla fallarán ya que se reserva todo el espacio IOVA válido cuando la dirección y la longitud se pasan como 0. Una solución ideal sería que el firmware elimine la propiedad "iommu-addresses". y la "región de memoria" correspondiente si la pantalla no está presente. Pero el kernel debería poder manejar esto verificando el tamaño de la región IOVA y omitiendo la reserva de IOVA si el tamaño es 0. Además, agregue una advertencia si el firmware solicita una reserva de región IOVA de longitud 0.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: serial: imx: corrige el punto muerto de la máquina de estado tx Cuando se usa el puerto serie como puerto RS485, la máquina de estado tx se usa para controlar el pin RTS para controlar el pin TX_EN del transceptor RS485. Cuando el puerto TTY se cierra en medio de una transmisión (por ejemplo, durante una falla de la aplicación en el área de usuario), imx_uart_shutdown deshabilita la interfaz y deshabilita la interrupción de transmisión completa. Después de eso, imx_uart_stop_tx abandona una transmisión incompleta, para ser reactivada por la interrupción de TC. Esta interrupción está deshabilitada y, por lo tanto, la máquina de estados tx nunca sale de ENVIAR. La máquina de estados ahora está en punto muerto y TX_EN permanece bajo, lo que hace que la interfaz sea inútil. imx_uart_stop_tx ahora verifica si hay transmisiones incompletas Y si las interrupciones TC están habilitadas antes de volver a activar el rescate. Esto garantiza que se alcance el estado de manejo de la máquina y que esté configurado correctamente en WAIT_AFTER_SEND.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: serial: 8250: omap: no omita la liberación de recursos si pm_runtime_resume_and_get() falla. Devolver un código de error desde .remove() hace que el núcleo del controlador emita el pequeño y útil mensaje de error: eliminar la devolución de llamada devolvió un valor distinto de cero. Esto será ignorado. y luego retire el dispositivo de todos modos. Entonces, en este caso, todos los recursos que no fueron liberados se filtran. Omitir serial8250_unregister_port() tiene el potencial de mantener suficiente UART disponible para desencadenar un use-after-free. Así que reemplace el retorno de error (y con él el pequeño mensaje de error útil) por un mensaje de error más útil y continúe con la limpieza.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bloque: agregar verifique que la longitud de la partición debe estar alineada con el tamaño del bloque Antes de llamar a agregar partición o cambiar el tamaño de la partición, no se verifica si la longitud está alineada con el tamaño del bloque lógico. Si el tamaño del bloque lógico del disco es mayor que 512 bytes, entonces el tamaño de la partición tal vez no sea el múltiplo del tamaño del bloque lógico, y cuando se lea el último sector, bio_truncate() ajustará el tamaño de la biografía, lo que resultará en un error de E/S si el tamaño del comando de lectura es menor que el tamaño del bloque lógico. Si se admiten datos de integridad, esto también resultará en una desreferencia del puntero nulo al llamar a bio_integrity_free.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: medios: v4l: async: corregir eliminación de lista duplicada La llamada de eliminación de lista descartada aquí ya se llama desde la función auxiliar en la línea anterior. Tener una segunda llamada a list_del() da como resultado una advertencia (con CONFIG_DEBUG_LIST=y): corrupción de list_del, c46c8198->el siguiente es LIST_POISON1 (00000100). Si CONFIG_DEBUG_LIST está deshabilitado, la operación genera un error del kernel debido a la desreferencia del puntero NULL.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/amd/display: corrige la desreferencia del puntero NULL en hibernación. Durante la secuencia de hibernación, es posible que el contexto de origen no tenga clk_mgr. Así que no lo utilices para buscar compatibilidad con DML2.