Vulnerabilidades

El plugin MyBB Trending Widget 1.2 contiene una vulnerabilidad de cross-site scripting que permite a los atacantes inyectar scripts maliciosos a través de los títulos de los hilos. Los atacantes pueden modificar los títulos de los hilos con cargas útiles de script que se ejecutarán cuando otros usuarios vean el widget de tendencias.

El plugin MyBB Thread Redirect 0.2.1 contiene una vulnerabilidad de cross-site scripting en el campo de entrada de texto personalizado para las redirecciones de hilos. Los atacantes pueden inyectar scripts SVG maliciosos que se ejecutarán cuando otros usuarios vean el hilo, permitiendo la ejecución arbitraria de scripts.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> libceph: reemplazar el BUG_ON excesivo en osdmap_apply_incremental()<br /> <br /> Si el osdmap está (maliciosamente) corrupto de tal manera que la época del osdmap incremental es diferente de lo que se espera, no hay necesidad de BUG. En su lugar, simplemente declarar el osdmap incremental como inválido.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> libceph: hacer free_choose_arg_map() resistente a la asignación parcial<br /> <br /> free_choose_arg_map() puede desreferenciar un puntero NULL si su llamador falla después de una asignación parcial.<br /> <br /> Por ejemplo, en decode_choose_args(), si la asignación de arg_map-&amp;gt;args falla, la ejecución salta a la etiqueta fail y se llama a free_choose_arg_map(). Dado que arg_map-&amp;gt;size se actualiza a un valor distinto de cero antes de la asignación de memoria, free_choose_arg_map() iterará sobre arg_map-&amp;gt;args y desreferenciará un puntero NULL.<br /> <br /> Para evitar esta potencial desreferencia de puntero NULL y hacer free_choose_arg_map() más resistente, añadir comprobaciones para los punteros antes de iterar.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> idpf: Soluciona el problema de puntero NULL de la RSS LUT después de un reinicio suave<br /> <br /> Durante el reinicio suave, la RSS LUT se libera y no se restaura a menos que la interfaz esté activa. Si se intenta un comando ethtool que accede a la rss lut inmediatamente después del reinicio, resultará en una desreferencia de puntero NULL. Además, no es necesario reiniciar la rss lut si el reinicio suave no implica un cambio en el recuento de colas.<br /> <br /> Después del reinicio suave, establece la RSS LUT a valores predeterminados basándose en el recuento de colas actualizado solo si el reinicio fue resultado de un cambio en el recuento de colas y la LUT no fue configurada por el usuario. En todos los demás casos, no modifiques la LUT.<br /> <br /> Pasos para reproducir:<br /> <br /> Desactiva la interfaz (si está activa)<br /> ifconfig eth1 down<br /> <br /> Actualiza el recuento de colas (ej., 27-&amp;gt;20)<br /> ethtool -L eth1 combined 20<br /> <br /> ** Muestra la RSS LUT<br /> ethtool -x eth1<br /> <br /> [82375.558338] BUG: desreferencia de puntero NULL del kernel, dirección: 0000000000000000<br /> [82375.558373] #PF: acceso de lectura de supervisor en modo kernel<br /> [82375.558391] #PF: error_code(0x0000) - página no presente<br /> [82375.558408] PGD 0 P4D 0<br /> [82375.558421] Oops: Oops: 0000 [#1] SMP NOPTI<br /> <br /> [82375.558516] RIP: 0010:idpf_get_rxfh+0x108/0x150 [idpf]<br /> [82375.558786] Traza de llamada:<br /> [82375.558793] <br /> [82375.558804] rss_prepare.isra.0+0x187/0x2a0<br /> [82375.558827] rss_prepare_data+0x3a/0x50<br /> [82375.558845] ethnl_default_doit+0x13d/0x3e0<br /> [82375.558863] genl_family_rcv_msg_doit+0x11f/0x180<br /> [82375.558886] genl_rcv_msg+0x1ad/0x2b0<br /> [82375.558902] ? __pfx_ethnl_default_doit+0x10/0x10<br /> [82375.558920] ? __pfx_genl_rcv_msg+0x10/0x10<br /> [82375.558937] netlink_rcv_skb+0x58/0x100<br /> [82375.558957] genl_rcv+0x2c/0x50<br /> [82375.558971] netlink_unicast+0x289/0x3e0<br /> [82375.558988] netlink_sendmsg+0x215/0x440<br /> [82375.559005] __sys_sendto+0x234/0x240<br /> [82375.559555] __x64_sys_sendto+0x28/0x30<br /> [82375.560068] x64_sys_call+0x1909/0x1da0<br /> [82375.560576] do_syscall_64+0x7a/0xfa0<br /> [82375.561076] ? clear_bhb_loop+0x60/0xb0<br /> [82375.561567] entry_SYSCALL_64_after_hwframe+0x76/0x7e<br />

Se ha resuelto la siguiente vulnerabilidad en el kernel de Linux:<br /> <br /> ublk: corrige uso después de liberación en ublk_partition_scan_work<br /> <br /> Existe una condición de carrera entre el trabajo de escaneo de particiones asíncrono y el desmontaje del dispositivo que puede llevar a un uso después de liberación de ub-&amp;gt;ub_disk:<br /> <br /> 1. ublk_ctrl_start_dev() programa partition_scan_work después de add_disk()<br /> 2. ublk_stop_dev() llama a ublk_stop_dev_unlocked() que hace:<br /> - del_gendisk(ub-&amp;gt;ub_disk)<br /> - ublk_detach_disk() establece ub-&amp;gt;ub_disk = NULL<br /> - put_disk() que puede liberar el disco<br /> 3. El worker ublk_partition_scan_work() entonces desreferencia ub-&amp;gt;ub_disk llevando a UAF<br /> <br /> Corrige esto usando ublk_get_disk()/ublk_put_disk() en el worker para mantener una referencia al disco durante el escaneo de particiones. El spinlock en ublk_get_disk() se sincroniza con ublk_detach_disk() asegurando que el worker o bien obtiene una referencia válida o ve NULL y sale temprano.<br /> <br /> También cambia flush_work() a cancel_work_sync() para evitar ejecutar innecesariamente el trabajo de escaneo de particiones cuando el disco ya está desmontado.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> libceph: devolver el error del manejador de mon_handle_auth_done()<br /> <br /> Actualmente, cualquier error de ceph_auth_handle_reply_done() se propaga a través de finish_auth() pero no se devuelve de mon_handle_auth_done(). Esto resulta en que las capas superiores aprendan que (a pesar de que el monitor nos considere autenticados con éxito) algo salió mal en la fase de autenticación y reaccionen en consecuencia, pero msgr2 sigue intentando proceder con el establecimiento de la sesión en segundo plano. En el caso del modo seguro, esto puede activar una ADVERTENCIA en setup_crypto() y más tarde conducir a una desreferencia de puntero NULL dentro de prepare_auth_signature().

Se ha resuelto la siguiente vulnerabilidad en el kernel de Linux:<br /> <br /> bpf: Corregir fuga de contador de referencias en bpf_prog_test_run_xdp()<br /> <br /> syzbot está reportando<br /> <br /> unregister_netdevice: esperando que sit0 quede libre. Recuento de uso = 2<br /> <br /> problema. Un parche de depuración printk() encontró que se obtiene un contador de referencias en xdp_convert_md_to_buff() desde bpf_prog_test_run_xdp().<br /> <br /> Según el commit ec94670fcb3b (&amp;#39;bpf: Soporte para especificar el ingreso a través del contexto xdp_md en BPF_PROG_TEST_RUN&amp;#39;), el contador de referencias obtenido por xdp_convert_md_to_buff() será liberado por xdp_convert_buff_to_md().<br /> <br /> Por lo tanto, podemos considerar que la ruta de manejo de errores introducida por el commit 1c1949982524 (&amp;#39;bpf: introducir soporte de fragmentos en bpf_prog_test_run_xdp()&amp;#39;) olvidó llamar a xdp_convert_buff_to_md().

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> gpiolib: corrige condición de carrera para gdev-&amp;gt;srcu<br /> <br /> Si dos controladores estaban llamando a gpiochip_add_data_with_key(), uno podría estar recorriendo la lista protegida por srcu en gpio_name_to_desc(), mientras tanto, el otro acaba de añadir su gdev en gpiodev_add_to_list_unlocked(). Esto crea un marco de tiempo no mutexado y no protegido, cuando una instancia está desreferenciando y usando &amp;amp;gdev-&amp;gt;srcu, antes de que la otra lo haya inicializado, resultando en un fallo:<br /> <br /> [ 4.935481] Unable to handle kernel paging request at virtual address ffff800272bcc000<br /> [ 4.943396] Mem abort info:<br /> [ 4.943400] ESR = 0x0000000096000005<br /> [ 4.943403] EC = 0x25: DABT (current EL), IL = 32 bits<br /> [ 4.943407] SET = 0, FnV = 0<br /> [ 4.943410] EA = 0, S1PTW = 0<br /> [ 4.943413] FSC = 0x05: level 1 translation fault<br /> [ 4.943416] Data abort info:<br /> [ 4.943418] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000<br /> [ 4.946220] CM = 0, WnR = 0, TnD = 0, TagAccess = 0<br /> [ 4.955261] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0<br /> [ 4.955268] swapper pgtable: 4k pages, 48-bit VAs, pgdp=0000000038e6c000<br /> [ 4.961449] [ffff800272bcc000] pgd=0000000000000000<br /> [ 4.969203] , p4d=1000000039739003<br /> [ 4.979730] , pud=0000000000000000<br /> [ 4.980210] phandle (CPU): 0x0000005e, phandle (BE): 0x5e000000 para node "reset"<br /> [ 4.991736] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP<br /> ...<br /> [ 5.121359] pc : __srcu_read_lock+0x44/0x98<br /> [ 5.131091] lr : gpio_name_to_desc+0x60/0x1a0<br /> [ 5.153671] sp : ffff8000833bb430<br /> [ 5.298440]<br /> [ 5.298443] Call trace:<br /> [ 5.298445] __srcu_read_lock+0x44/0x98<br /> [ 5.309484] gpio_name_to_desc+0x60/0x1a0<br /> [ 5.320692] gpiochip_add_data_with_key+0x488/0xf00<br /> 5.946419] ---[ end trace 0000000000000000 ]---<br /> <br /> Mover el código de inicialización para los campos de gdev antes de que sea añadido a gpio_devices, con código de inicialización adyacente.<br /> Ajustar las sentencias goto para reflejar el orden de operaciones modificado<br /> <br /> [Bartosz: se corrigió un problema de compilación, se eliminó una nueva línea suelta]

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> net/sched: act_api: evitar la desreferenciación de ERR_PTR en tcf_idrinfo_destroy<br /> <br /> syzbot informó de un fallo en tc_act_in_hw() durante el desmontaje de netns donde tcf_idrinfo_destroy() pasó un valor ERR_PTR(-EBUSY) como un puntero tc_action, lo que llevó a una desreferenciación inválida.<br /> <br /> Protegerse contra entradas ERR_PTR al iterar el IDR de acción para que el desmontaje no llame a tc_act_in_hw() en un puntero de error.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> arp: no asumir que dev_hard_header() no cambia skb-&amp;gt;head<br /> <br /> arp_create() es el único llamador de dev_hard_header() que asume que skb-&amp;gt;head permanece sin cambios.<br /> <br /> Un commit reciente dejó de realizar esta suposición.<br /> <br /> Inicializar el puntero @arp después de la llamada a dev_hard_header().

Se ha resuelto la siguiente vulnerabilidad en el kernel de Linux:<br /> <br /> nfsd: comprobar que el servidor está en ejecución en unlock_filesystem<br /> <br /> Si estamos intentando desbloquear el sistema de archivos a través de una interfaz de administración y nfsd no está en ejecución, se provoca la caída del servidor. Esto ocurre actualmente porque nfsd4_revoke_states() accede a estructuras de estado (por ejemplo, conf_id_hashtbl) que han sido liberadas como parte del apagado del servidor.<br /> <br /> [ 59.465072] Traza de llamada:<br /> [ 59.465308] nfsd4_revoke_states+0x1b4/0x898 [nfsd] (P)<br /> [ 59.465830] write_unlock_fs+0x258/0x440 [nfsd]<br /> [ 59.466278] nfsctl_transaction_write+0xb0/0x120 [nfsd]<br /> [ 59.466780] vfs_write+0x1f0/0x938<br /> [ 59.467088] ksys_write+0xfc/0x1f8<br /> [ 59.467395] __arm64_sys_write+0x74/0xb8<br /> [ 59.467746] invoke_syscall.constprop.0+0xdc/0x1e8<br /> [ 59.468177] do_el0_svc+0x154/0x1d8<br /> [ 59.468489] el0_svc+0x40/0xe0<br /> [ 59.468767] el0t_64_sync_handler+0xa0/0xe8<br /> [ 59.469138] el0t_64_sync+0x1ac/0x1b0<br /> <br /> Asegurar que esto no pueda ocurrir tomando el nfsd_mutex y comprobando que el servidor sigue activo, y luego manteniendo el mutex durante la llamada a nfsd4_revoke_states().