Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nfc: fdp: agregar comprobación nula de devm_kmalloc_array en fdp_nci_i2c_read_device_properties devm_kmalloc_array puede fallar, *fw_vsc_cfg puede ser nulo y provocar una escritura fuera de los límites en device_property_read_u8_array más adelante.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: caif: Se corrige el use-after-free en cfusbl_device_notify() syzbot informó el use-after-free en cfusbl_device_notify() [1]. Esto provoca un seguimiento de pila como el siguiente: ERROR: KASAN: use-after-free en cfusbl_device_notify+0x7c9/0x870 net/caif/caif_usb.c:138 Lectura de tamaño 8 en la dirección ffff88807ac4e6f0 por la tarea kworker/u4:6/1214 CPU: 0 PID: 1214 Comm: kworker/u4:6 No contaminado 5.19.0-rc3-syzkaller-00146-g92f20ff72066 #0 Nombre del hardware: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/01/2011 Cola de trabajo: netns cleanup_net Seguimiento de llamadas: __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xcd/0x134 lib/dump_stack.c:106 print_address_description.constprop.0.cold+0xeb/0x467 mm/kasan/report.c:313 print_report mm/kasan/report.c:429 [inline] kasan_report.cold+0xf4/0x1c6 mm/kasan/report.c:491 cfusbl_device_notify+0x7c9/0x870 net/caif/caif_usb.c:138 notifier_call_chain+0xb5/0x200 kernel/notifier.c:87 call_netdevice_notifiers_info+0xb5/0x130 net/core/dev.c:1945 call_netdevice_notifiers_extack net/core/dev.c:1983 [inline] call_netdevice_notifiers net/core/dev.c:1997 [inline] netdev_wait_allrefs_any net/core/dev.c:10227 [inline] netdev_run_todo+0xbc0/0x10f0 net/core/dev.c:10341 default_device_exit_batch+0x44e/0x590 net/core/dev.c:11334 ops_exit_list+0x125/0x170 net/core/net_namespace.c:167 cleanup_net+0x4ea/0xb00 net/core/net_namespace.c:594 process_one_work+0x996/0x1610 kernel/workqueue.c:2289 worker_thread+0x665/0x1080 kernel/workqueue.c:2436 kthread+0x2e9/0x3a0 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:302 Al anular el registro de un dispositivo de red, unregister_netdevice_many_notify() establece el estado del dispositivo en NETREG_UNREGISTERING, llama a los notificadores con NETDEV_UNREGISTER y añade el dispositivo a la lista de tareas pendientes. Posteriormente, netdev_run_todo() procesa los dispositivos de la lista de tareas pendientes. netdev_run_todo() espera a que el recuento de referencias de los dispositivos llegue a 1 mientras retransmite la notificación NETDEV_UNREGISTER. Si se llama a cfusbl_device_notify() con NETDEV_UNREGISTER varias veces, el dispositivo principal podría liberarse. Esto podría causar un UAF. Procesar NETDEV_UNREGISTER varias veces también provoca un desequilibrio en el recuento de referencias del módulo. Este parche soluciona el problema aceptando solo la primera notificación NETDEV_UNREGISTER.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: af_unix: se corrigen fugas de struct pid en la compatibilidad OOB. syzbot reportó una fuga de struct pid [1]. El problema radica en que queue_oob() llama a perhaps_add_creds(), que potencialmente contiene una referencia a un PID. Sin embargo, skb->destructor no está definido (ni directamente ni mediante la llamada a unix_scm_to_skb()). Esto significa que las posteriores operaciones kfree_skb() o consume_skb() filtrarían esta referencia. En esta corrección, opté por ofrecer compatibilidad total con scm, incluso para el mensaje OOB. [1] ERROR: pérdida de memoria, objeto no referenciado 0xffff8881053e7f80 (tamaño 128): comunicación "syz-executor242", pid 5066, jiffies 4294946079 (edad 13.220s), volcado hexadecimal (primeros 32 bytes): 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace: [] alloc_pid+0x6a/0x560 kernel/pid.c:180 [] copy_process+0x169f/0x26c0 kernel/fork.c:2285 [] kernel_clone+0xf7/0x610 kernel/fork.c:2684 [] __do_sys_clone+0x7c/0xb0 kernel/fork.c:2825 [] do_syscall_x64 arch/x86/entry/common.c:50 [inline] [] do_syscall_64+0x39/0xb0 arch/x86/entry/common.c:80 [] entry_SYSCALL_64_after_hwframe+0x63/0xcd

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: riscv: Usar READ_ONCE_NOCHECK en modo de desenrollado de pila impreciso Cuando no se establece CONFIG_FRAME_POINTER, la función de desenrollado de pila walk_stackframe lee la pila aleatoriamente y luego, cuando KASAN está habilitado, puede llevar al siguiente backtrace: [ 0.000000] ===================================================================== [ 0.000000] ERROR: KASAN: pila fuera de los límites en walk_stackframe+0xa6/0x11a [ 0.000000] Lectura de tamaño 8 en la dirección ffffffff81807c40 por tarea swapper/0 [ 0.000000] [ 0.000000] CPU: 0 PID: 0 Comm: swapper No contaminado 6.2.0-12919-g24203e6db61f #43 [ 0.000000] Nombre del hardware: riscv-virtio,qemu (DT) [ 0.000000] Rastreo de llamadas: [ 0.000000] [] walk_stackframe+0x0/0x11a [ 0.000000] [] init_param_lock+0x26/0x2a [ 0.000000] [] walk_stackframe+0xa2/0x11a [ 0.000000] [] dump_stack_lvl+0x22/0x36 [ 0.000000] [] print_report+0x198/0x4a8 [ 0.000000] [] init_param_lock+0x26/0x2a [ 0.000000] [] walk_stackframe+0xa2/0x11a [ 0.000000] [] kasan_report+0x9a/0xc8 [ 0.000000] [] walk_stackframe+0xa2/0x11a [ 0.000000] [] walk_stackframe+0xa2/0x11a [ 0.000000] [] desc_make_final+0x80/0x84 [ 0.000000] [] stack_trace_save+0x88/0xa6 [ 0.000000] [] filter_irq_stacks+0x72/0x76 [ 0.000000] [] devkmsg_read+0x32a/0x32e [ 0.000000] [] kasan_save_stack+0x28/0x52 [ 0.000000] [] desc_make_final+0x7c/0x84 [ 0.000000] [] stack_trace_save+0x84/0xa6 [ 0.000000] [] kasan_set_track+0x12/0x20 [ 0.000000] [] __kasan_slab_alloc+0x58/0x5e [ 0.000000] [] __kmem_cache_create+0x21e/0x39a [ 0.000000] [] create_boot_cache+0x70/0x9c [ 0.000000] [] kmem_cache_init+0x6c/0x11e [ 0.000000] [] mm_init+0xd8/0xfe [ 0.000000] [] start_kernel+0x190/0x3ca [ 0.000000] [ 0.000000] The buggy address belongs to stack of task swapper/0 [ 0.000000] and is located at offset 0 in frame: [ 0.000000] stack_trace_save+0x0/0xa6 [ 0.000000] [ 0.000000] This frame has 1 object: [ 0.000000] [32, 56) 'c' [ 0.000000] [ 0.000000] The buggy address belongs to the physical page: [ 0.000000] page:(____ptrval____) refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x81a07 [ 0.000000] flags: 0x1000(reserved|zone=0) [ 0.000000] raw: 0000000000001000 ff600003f1e3d150 ff600003f1e3d150 0000000000000000 [ 0.000000] raw: 0000000000000000 0000000000000000 00000001ffffffff [ 0.000000] page dumped because: kasan: bad access detected [ 0.000000] [ 0.000000] Memory state around the buggy address: [ 0.000000] ffffffff81807b00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 0.000000] ffffffff81807b80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 0.000000] >ffffffff81807c00: 00 00 00 00 00 00 00 00 f1 f1 f1 f1 00 00 00 f3 [ 0.000000] ^ [ 0.000000] ffffffff81807c80: f3 f3 f3 f3 00 00 00 00 00 00 00 00 00 00 00 00 [ 0.000000] ffffffff81807d00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 0.000000] ================================================================== Solucione esto usando READ_ONCE_NOCHECK al leer la pila en modo impreciso.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bnxt_en: Evita la asignación de memoria de orden 5 para datos TPA. El controlador debe registrar todas las posibles finalizaciones simultáneas de TPA (GRO/LRO) en el anillo de agregación. En chips P5, el número máximo de TPA simultáneas es de 256 y la cantidad de memoria que asignamos es de orden 5 en sistemas que utilizan páginas de 4K. Se informó un error de asignación de memoria: NetworkManager: error de asignación de página: orden: 5, modo: 0x40dc0 (GFP_KERNEL | __GFP_COMP | __GFP_ZERO), máscara de nodo = (null), conjunto de CPU = /, mems_allowed = 0-1 CPU: 15 PID: 2995 Comm: NetworkManager Kdump: cargado No contaminado 5.10.156 # 1 Nombre del hardware: Dell Inc. PowerEdge R660 / 0M1CC5, BIOS 0.2.25 12/08/2022 Seguimiento de llamadas: dump_stack + 0x57 / 0x6e warn_alloc.cold.120 + 0x7b / 0xdd ? _cond_resched + 0x15 / 0x30 ? __alloc_pages_direct_compact+0x15f/0x170 __alloc_pages_slowpath.constprop.108+0xc58/0xc70 __alloc_pages_nodemask+0x2d0/0x300 kmalloc_order+0x24/0xe0 kmalloc_order_trace+0x19/0x80 bnxt_alloc_mem+0x1150/0x15c0 [bnxt_es] ? bnxt_get_func_stat_ctxs+0x13/0x60 [bnxt_es] __bnxt_open_nic+0x12e/0x780 [bnxt_es] bnxt_open+0x10b/0x240 [bnxt_es] __dev_open+0xe9/0x180 __dev_change_flags+0x1af/0x220 dev_change_flags+0x21/0x60 do_setlink+0x35c/0x1100 En lugar de asignar esta gran cantidad de memoria y dividirla para las instancias de TPA simultáneas, asigne cada pequeña cantidad por separado para cada instancia de TPA. Esto reducirá las asignaciones a un orden de 0.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bpf, sockmap: corrige un error de bucle infinito cuando len es 0 en tcp_bpf_recvmsg_parser() Cuando la longitud del búfer de la llamada del sistema recvmsg es 0, tenemos el siguiente problema de bloqueo suave: watchdog: ERROR: bloqueo suave: ¡CPU n.º 3 bloqueada durante 27 s! [a.out:6149] CPU: 3 PID: 6149 Comm: a.out Kdump: cargado No contaminado 6.2.0+ #30 Nombre del hardware: PC estándar QEMU (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 RIP: 0010:remove_wait_queue+0xb/0xc0 Código: 5e 41 5f c3 cc cc cc cc 0f 1f 80 00 00 00 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 0f 1f 44 00 00 41 57 <41> 56 41 55 41 54 55 48 89 fd 53 48 89 f3 4c 8d 6b 18 4c 8d 73 20 RSP: 0018:ffff88811b5978b8 EFLAGS: 00000246 RAX: 000000000000000 RBX: ffff88811a7d3780 RCX: ffffffffb7a4d768 RDX: dffffc0000000000 RSI: ffff88811b597908 RDI: ffff888115408040 RBP: 1ffff110236b2f1b R08: 000000000000000 R09: ffff88811a7d37e7 R10: ffffed10234fa6fc R11: 000000000000001 R12: ffff88811179b800 R13: 0000000000000001 R14: ffff88811a7d38a8 R15: ffff88811a7d37e0 FS: 00007f6fb5398740(0000) GS:ffff888237180000(0000) knlGS:000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 000000080050033 CR2: 0000000020000000 CR3: 0000000010b6ba002 CR4: 0000000000370ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Rastreo de llamadas: tcp_msg_wait_data+0x279/0x2f0 tcp_bpf_recvmsg_parser+0x3c6/0x490 inet_recvmsg+0x280/0x290 sock_recvmsg+0xfc/0x120 ____sys_recvmsg+0x160/0x3d0 ___sys_recvmsg+0xf0/0x180 __sys_recvmsg+0xea/0x1a0 do_syscall_64+0x3f/0x90 entry_SYSCALL_64_after_hwframe+0x72/0xdc The logic in tcp_bpf_recvmsg_parser is as follows: msg_bytes_ready: copied = sk_msg_recvmsg(sk, psock, msg, len, flags); if (!copied) { wait data; goto msg_bytes_ready; } En este caso, "copiado" siempre es 0, se produce el bucle infinito. Según la página del manual de llamadas del sistema de Linux, en este caso se debería devolver 0. Por lo tanto, en tcp_bpf_recvmsg_parser(), si la longitud es 0, se devuelve directamente. Modifique también otras funciones con el mismo problema.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: scsi: mpi3mr: corrige la pérdida de memoria mpi3mr_hba_port en mpi3mr_remove() Libera mpi3mr_hba_port en .remove.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: SUNRPC: Se corrige una fuga de información al apagar el servidor. Se corrige una ejecución donde kthread_stop() podría impedir que se llame a threadfn. Si esto ocurre, svc_rqst no se limpiará.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: RISC-V: se corrige la toma de text_mutex dos veces durante la corrección de erratas de SiFive. Chris señaló que un imbécil, *ejem* yo *ejem*, añadió dos mutex_locks() a la corrección de erratas de SiFive. El segundo debía ser un mutex_unlock(). Esto genera errores como No se puede manejar la desreferencia del puntero NULL del núcleo en la dirección virtual 0000000000000030 Ups [#1] Módulos vinculados: CPU: 0 PID: 0 Comm: swapper No contaminado 6.2.0-rc1-starlight-00079-g9493e6f3ce02 #229 Nombre del hardware: BeagleV Starlight Beta (DT) epc: __schedule+0x42/0x500 ra: schedule+0x46/0xce epc: ffffffff8065957c ra: ffffffff80659a80 sp: ffffffff81203c80 gp: ffffffff812d50a0 tp: ffffffff8120db40 t0: ffffffff81203d68 t1: 0000000000000001 t2: 4c45203a76637369 s0: ffffffff81203cf0 s1: ffffffff8120db40 a0: 0000000000000000 a1: ffffffff81213958 a2: ffffffff81213958 a3: 0000000000000000 a4: 0000000000000000 a5: ffffffff80a1bd00 a6: 0000000000000000 a7: 0000000052464e43 s2: ffffffff8120db41 s3: ffffffff80a1ad00 s4: 0000000000000000 s5: 0000000000000002 s6: ffffffff81213938 s7: 0000000000000000 s8: 0000000000000000 s9: 0000000000000001 s10: ffffffff812d7204 s11: ffffffff80d3c920 t3: 0000000000000001 t4: ffffffff812e6dd7 t5: ffffffff812e6dd8 t6: ffffffff81203bb8 estado: 0000000200000100 dirección incorrecta: 0000000000000030 causa: 000000000000000d [] programación+0x46/0xce [] programación_preempt_disabled+0x16/0x28 [] __mutex_lock.constprop.0+0x3fe/0x652 [] __mutex_lock_slowpath+0xe/0x16 [] mutex_lock+0x42/0x4c [] sifive_errata_patch_func+0xf6/0x18c [] _apply_alternatives+0x74/0x76 [] apply_boot_alternatives+0x3c/0xfa [] setup_arch+0x60c/0x640 [] start_kernel+0x8e/0x99c ---[ fin de seguimiento 0000000000000000 ]--- [Palmer: consulta el informe de error de Geert en el hilo]

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ext4: Se corrige el bloqueo al renombrar un directorio. Como advierte lockdep, no se debe bloquear i_rwsem mientras se inician transacciones, ya que el orden de bloqueo correcto para todas las operaciones de gestión de directorios es i_rwsem -> inicio de transacción. Corrija el orden de bloqueo desplazando el bloqueo del directorio hacia una etapa anterior en ext4_rename().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: bloque: corregir el modo incorrecto para blkdev_put() desde disk_scan_partitions(). Si se llama a disk_scan_partitions() con 'FMODE_EXCL', blkdev_get_by_dev() se llamará sin 'FMODE_EXCL'. Sin embargo, blkdev_put() se seguirá llamando con 'FMODE_EXCL', lo que provocará una fuga del contador 'bd_holders'. Solucione el problema usando el modo correcto para blkdev_put().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: scsi: mpi3mr: Se corrige la pérdida de memoria de throttle_groups. Se agrega un kfree() faltante.