Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: ipv6: arreglo de bucles de referencia dst en lwtunnels rpl, seg6 y ioam6 Algunos lwtunnels tienen una caché dst para dst posterior a la transformación. Si el destino del paquete no cambió, podemos terminar registrando una referencia al lwtunnel en su propia caché, y el estado del lwtunnel nunca se liberará. Descubierto por la prueba ioam6.sh, kmemleak se corrigió recientemente para detectar fugas de memoria por CPU. No estoy seguro de si rpl y seg6 realmente pueden alcanzar esto, pero en principio no veo por qué no.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: sched_ext: Se corrige la detección incorrecta de la migración de autogrupos. scx_move_task() se llama desde sched_move_task() y le dice al programador BPF que se está confirmando la migración de cgroup. sched_move_task() se usa tanto en las migraciones de cgroup como de autogrupos y scx_move_task() intentó filtrar las migraciones de autogrupos probando el cgroup de destino y PF_EXITING, pero esto no es suficiente. De hecho, sin etiquetar explícitamente el hilo que está realizando la migración de cgroup, no hay una buena manera de diferenciar las invocaciones de scx_move_task() para la migración de ejecución al cgroup raíz y una migración de autogrupo. Esto provocó que scx_move_task() ignorara incorrectamente una migración desde un cgroup no raíz a un autogrupo del cgroup raíz, lo que activaba la siguiente advertencia: ADVERTENCIA: CPU: 7 PID: 1 en kernel/sched/ext.c:3725 scx_cgroup_can_attach+0x196/0x340 ... Seguimiento de llamadas: cgroup_migrate_execute+0x5b1/0x700 cgroup_attach_task+0x296/0x400 __cgroup_procs_write+0x128/0x140 cgroup_procs_write+0x17/0x30 kernfs_fop_write_iter+0x141/0x1f0 vfs_write+0x31d/0x4a0 __x64_sys_write+0x72/0xf0 do_syscall_64+0x82/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e Solucione el problema agregando un argumento a sched_move_task() que indique si el movimiento es para una migración de cgroup o de autogroup. Después del cambio, se llama a scx_move_task() solo para migraciones de cgroup y se le cambia el nombre a scx_cgroup_move_task().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ptp: vmclock: Agregar .owner a vmclock_miscdev_fops Sin el campo .owner, el módulo se puede descargar mientras /dev/vmclock0 está abierto, lo que genera un error.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iommu: Se corrige una posible pérdida de memoria en iopf_queue_remove_device() El asistente iopf_queue_remove_device() elimina un dispositivo de la cola de iopf por iommu cuando PRI está deshabilitado en el dispositivo. Responde a todos los iopf pendientes con un código IOMMU_PAGE_RESP_INVALID y separa el dispositivo de la cola. Sin embargo, no libera la estructura de grupo que representa un grupo de iopf que esperan una respuesta después de responder al hardware. Esto puede provocar una pérdida de memoria si se llama a iopf_queue_remove_device() con iopf pendientes. Corríjalo llamando a iopf_free_group() después de que se responda al grupo de iopf.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: can: etas_es58x: corrige una posible desreferencia de puntero NULL en udev->serial El controlador asumió que es58x_dev->udev->serial nunca podría ser NULL. Si bien esto es cierto en dispositivos disponibles comercialmente, un atacante podría falsificar la identidad del dispositivo proporcionando un número de serie USB NULL. Eso activaría una desreferencia de puntero NULL. Agregue una verificación en es58x_dev->udev->serial antes de acceder a él.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ndisc: usar protección RCU en ndisc_alloc_skb() ndisc_alloc_skb() se puede llamar sin que se mantenga RTNL o RCU. Agregue protección RCU para evitar posibles UAF.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv6: usar protección RCU en ip6_default_advmss() ip6_default_advmss() necesita protección RCU para asegurarse de que la estructura de red que lee no desaparezca.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ipv4: usar protección RCU en __ip_rt_update_pmtu() __ip_rt_update_pmtu() debe usar protección RCU para asegurarse de que la estructura de red que lee no desaparezca.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: clocksource: Use migrants_disable() para evitar llamar a get_random_u32() en un contexto atómico El siguiente informe de error ocurrió con un kernel PREEMPT_RT: ERROR: función inactiva llamada desde un contexto no válido en kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 2012, name: kwatchdog preempt_count: 1, expected: 0 Profundidad de anidamiento de RCU: 0, expected: 0 get_random_u32+0x4f/0x110 clocksource_verify_choose_cpus+0xab/0x1a0 clocksource_verify_percpu.part.0+0x6b/0x330 clocksource_watchdog_kthread+0x193/0x1a0 Esto se debe al hecho de que clocksource_verify_choose_cpus() se invoca con la preempción deshabilitada. Esta función invoca get_random_u32() para obtener números aleatorios para elegir las CPU. El bloqueo local batched_entropy_32 y/o el spinlock base_crng.lock en driver/char/random.c se adquirirán durante la llamada. En el kernel PREEMPT_RT, ambos son bloqueos inactivos y, por lo tanto, no se pueden adquirir en un contexto atómico. Solucione este problema utilizando migrants_disable() para permitir que smp_processor_id() se utilice de manera confiable sin introducir un contexto atómico. Luego, se llama a preempt_disable() después de clocksource_verify_choose_cpus() pero antes de que se ejecute la medición de la fuente de reloj para evitar introducir una latencia inesperada.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: particiones: mac: se corrige el manejo de la tabla de particiones falsa Corrige varios problemas en el sondeo de particiones: - El rescate para un partoffset incorrecto debe usar put_dev_sector(), ya que el read_part_sector() anterior tuvo éxito. - Si la tabla de particiones reclama un tamaño de sector tonto como 0xfff bytes (lo que da como resultado que las entradas de la tabla de particiones se extiendan a ambos lados de los límites del sector), salga en lugar de acceder a la memoria fuera de los límites. - No debemos asumir que la tabla de particiones contiene la terminación NUL adecuada: use strnlen() y strncmp() en lugar de strlen() y strcmp().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: btrfs: corrige el error de aserción al dividir la extensión ordenada después de la interrupción de la transacción Si mientras estamos realizando una escritura de E/S directa ocurre una interrupción de la transacción, marcamos todas las extensiones ordenadas existentes con el indicador BTRFS_ORDERED_IOERR (hecho en btrfs_destroy_ordered_extents()), y luego de eso si ingresamos btrfs_split_ordered_extent() y la extensión ordenada tiene bytes restantes (lo que significa que tenemos una biografía que no cubre toda la extensión ordenada, vea los detalles en btrfs_extract_ordered_extent()), fallaremos en la siguiente aserción en btrfs_split_ordered_extent(): ASSERT(!(flags & ~BTRFS_ORDERED_TYPE_FLAGS)); porque el indicador BTRFS_ORDERED_IOERR está configurado y la definición de BTRFS_ORDERED_TYPE_FLAGS es solo la unión de todos los indicadores que identifican el tipo de escritura (regular, nocow, prealloc, comprimido, E/S directa, codificado). Solucione esto devolviendo un error de btrfs_extract_ordered_extent() si encontramos el indicador BTRFS_ORDERED_IOERR en la extensión ordenada. El error será el error que resultó en la interrupción de la transacción o -EIO si no ocurrió ninguna interrupción de la transacción. Esto fue informado recientemente por syzbot con el siguiente seguimiento: FAULT_INJECTION: forzando una falla. nombre failslab, intervalo 1, probabilidad 0, espacio 0, multiplicado por 1 CPU: 0 UID: 0 PID: 5321 Comm: syz.0.0 No contaminado 6.13.0-rc5-syzkaller #0 Nombre del hardware: PC estándar QEMU (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 01/04/2014 Seguimiento de llamadas: __dump_stack lib/dump_stack.c:94 [en línea] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 fail_dump lib/fault-inject.c:53 [en línea] should_fail_ex+0x3b0/0x4e0 lib/fault-inject.c:154 should_failslab+0xac/0x100 mm/failslab.c:46 slab_pre_alloc_hook mm/slub.c:4072 [en línea] slab_alloc_node mm/slub.c:4148 [en línea] __do_kmalloc_node mm/slub.c:4297 [en línea] __kmalloc_noprof+0xdd/0x4c0 mm/slub.c:4310 kmalloc_noprof include/linux/slab.h:905 [en línea] kzalloc_noprof include/linux/slab.h:1037 [en línea] btrfs_chunk_alloc_add_chunk_item+0x244/0x1100 fs/btrfs/volumes.c:5742 reserve_chunk_space+0x1ca/0x2c0 fs/btrfs/block-group.c:4292 check_system_chunk fs/btrfs/block-group.c:4319 [en línea] do_chunk_alloc fs/btrfs/block-group.c:3891 [en línea] btrfs_chunk_alloc+0x77b/0xf80 fs/btrfs/block-group.c:4187 find_free_extent_update_loop fs/btrfs/extent-tree.c:4166 [en línea] find_free_extent+0x42d1/0x5810 fs/btrfs/extent-tree.c:4579 btrfs_reserve_extent+0x422/0x810 fs/btrfs/extent-tree.c:4672 btrfs_new_extent_direct fs/btrfs/direct-io.c:186 [en línea] btrfs_get_blocks_direct_write+0x706/0xfa0 fs/btrfs/direct-io.c:321 btrfs_dio_iomap_begin+0xbb7/0x1180 fs/btrfs/direct-io.c:525 iomap_iter+0x697/0xf60 fs/iomap/iter.c:90 __iomap_dio_rw+0xeb9/0x25b0 fs/iomap/direct-io.c:702 btrfs_dio_write fs/btrfs/direct-io.c:775 [en línea] btrfs_direct_write+0x610/0xa30 fs/btrfs/direct-io.c:880 btrfs_do_write_iter+0x2a0/0x760 fs/btrfs/file.c:1397 do_iter_readv_writev+0x600/0x880 vfs_writev+0x376/0xba0 fs/read_write.c:1050 do_pwritev fs/read_write.c:1146 [en línea] __do_sys_pwritev2 fs/read_write.c:1204 [en línea] __se_sys_pwritev2+0x196/0x2b0 fs/read_write.c:1195 do_syscall_x64 arch/x86/entry/common.c:52 [en línea] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f1281f85d29 RSP: 002b:00007f12819fe038 EFLAGS: 00000246 ORIG_RAX: 0000000000000148 RAX: ffffffffffffffda RBX: 00007f1282176080 RCX: 00007f1281f85d29 RDX: 0000000000000001 RSI: 0000000020000240 RDI: 00000000000000005 RBP: 00007f12819fe090 R08: 0000000000000000 R09: 0000000000000003 R10: 0000000000007000 R11: 0000000000000246 R12: 0000000000000002 R13: 0000000000000000 R14: 00007f1282176080 R15: 00007ffcb9e23328 Error BTRFS (estado A del bucle 0 del dispositivo): transacción abortada (error -12) BTRFS: ---truncado---

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: vsock: socket huérfano después de la liberación del transporte Durante la liberación del socket, se llama a sock_orphan() sin tener en cuenta que establece sk->sk_wq en NULL. Más tarde, si se habilita SO_LINGER, esto conduce a un puntero nulo desreferenciado en virtio_transport_wait_close(). Deja huérfano el socket solo después de la liberación del transporte. Revierte parcialmente el commit 'Fixes:'. KASAN: desreferencia de punto nulo en el rango [0x0000000000000018-0x0000000000000001f] lock_acquire+0x19e/0x500 _raw_spin_lock_irqsave+0x47/0x70 add_wait_queue+0x46/0x230 virtio_transport_release+0x4e7/0x7f0 __vsock_release+0xfd/0x490 vsock_release+0x90/0x120 __sock_release+0xa3/0x250 sock_close+0x14/0x20 __fput+0x35e/0xa90 __x64_sys_close+0x78/0xd0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e