Vulnerabilidades

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> idpf: desvincular y cerrar netdevs mientras se maneja un reinicio<br /> <br /> Proteger la ruta de reinicio de las devoluciones de llamada configurando los netdevs a estado desvinculado y cerrando cualquier netdev en estado UP hasta que el manejo del reinicio haya finalizado. Durante un reinicio, el controlador desasignará recursos para el vport, y no hay garantía de que estos se recuperen, razón por la cual el vport_ctrl_lock existente no proporciona suficiente protección.<br /> <br /> idpf_detach_and_close() se llama justo antes del manejo del reinicio. Si el manejo del reinicio tiene éxito, el estado de los netdevs se recupera mediante una llamada a idpf_attach_and_open(). Si el manejo del reinicio falla, los netdevs permanecen inactivos. Las llamadas de desvinculación/inactivación están protegidas con el bloqueo RTNL para evitar condiciones de carrera con las devoluciones de llamada. En el lado de la recuperación, la vinculación se puede realizar sin mantener el bloqueo RTNL ya que no se esperan devoluciones de llamada en ese punto, debido a que la desvinculación/cierre siempre se realiza primero en ese flujo.<br /> <br /> La lógica anterior que restauraba el estado de los netdevs basada en el indicador IDPF_VPORT_UP_REQUESTED en la tarea de inicialización ya no es necesaria, de ahí la eliminación de idpf_set_vport_state(). El IDPF_VPORT_UP_REQUESTED todavía se utiliza para restaurar el estado de los netdevs después del reinicio, pero no tiene uso fuera del flujo de manejo del reinicio.<br /> <br /> idpf_init_hard_reset() se convierte a void, ya que se utilizaba como tal y no se realiza manejo de errores basado en su valor de retorno.<br /> <br /> Antes de este cambio, invocar reinicios duros y blandos simultáneamente hará que el controlador pierda el estado del vport:<br /> ip -br a<br /> UP<br /> echo 1 &amp;gt; /sys/class/net/ens801f0/device/reset&amp;amp; \<br /> ethtool -L ens801f0 combined 8<br /> ip -br a<br /> DOWN<br /> ip link set up<br /> ip -br a<br /> DOWN<br /> <br /> También en caso de un fallo en la ruta de reinicio, el netdev queda expuesto a devoluciones de llamada externas, mientras que los recursos del vport no están inicializados, lo que lleva a un fallo en un posterior ifup/down:<br /> [408471.398966] idpf 0000:83:00.0: HW reset detected<br /> [408471.411744] idpf 0000:83:00.0: Device HW Reset initiated<br /> [408472.277901] idpf 0000:83:00.0: El controlador no pudo contactar el firmware del dispositivo. Verifique que el FW esté en ejecución. Estado del controlador= 0x2<br /> [408508.125551] BUG: desreferencia de puntero NULL del kernel, dirección: 0000000000000078<br /> [408508.126112] #PF: acceso de lectura de supervisor en modo kernel<br /> [408508.126687] #PF: error_code(0x0000) - página no presente<br /> [408508.127256] PGD 2aae2f067 P4D 0<br /> [408508.127824] Oops: Oops: 0000 [#1] SMP NOPTI<br /> ...<br /> [408508.130871] RIP: 0010:idpf_stop+0x39/0x70 [idpf]<br /> ...<br /> [408508.139193] Call Trace:<br /> [408508.139637] <br /> [408508.140077] __dev_close_many+0xbb/0x260<br /> [408508.140533] __dev_change_flags+0x1cf/0x280<br /> [408508.140987] netif_change_flags+0x26/0x70<br /> [408508.141434] dev_change_flags+0x3d/0xb0<br /> [408508.141878] devinet_ioctl+0x460/0x890<br /> [408508.142321] inet_ioctl+0x18e/0x1d0<br /> [408508.142762] ? _copy_to_user+0x22/0x70<br /> [408508.143207] sock_do_ioctl+0x3d/0xe0<br /> [408508.143652] sock_ioctl+0x10e/0x330<br /> [408508.144091] ? find_held_lock+0x2b/0x80<br /> [408508.144537] __x64_sys_ioctl+0x96/0xe0<br /> [408508.144979] do_syscall_64+0x79/0x3d0<br /> [408508.145415] entry_SYSCALL_64_after_hwframe+0x76/0x7e<br /> [408508.145860] RIP: 0033:0x7f3e0bb4caff

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> net: no escribir en msg_get_inq en el callee<br /> <br /> Corrección de desreferencia de puntero NULL.<br /> <br /> msg_get_inq es un campo de entrada del caller al callee. No lo establezca en el callee, ya que el caller podría no borrarlo al reutilizar la estructura.<br /> <br /> Esta es solo una variante interna del kernel de msghdr, y el único usuario reinicializa el campo. Por lo tanto, esto no es crítico por esa razón. Pero es más robusto evitar la escritura, y un código ligeramente más simple. Y corrige un error, ver abajo.<br /> <br /> Los callers establecen msg_get_inq para solicitar que la longitud de la cola de entrada sea devuelta en msg_inq. Esto es equivalente a, pero independiente de, la solicitud SO_INQ para devolver esa misma información como un cmsg (tp-&amp;gt;recvmsg_inq). Para reducir las bifurcaciones en la ruta crítica, el segundo también establece el msg_inq. Eso es WAI.<br /> <br /> Esta es una corrección para el commit 4d1442979e4a (&amp;#39;af_unix: no publicar cmsg para SO_INQ a menos que se solicite explícitamente&amp;#39;), que corrigió lo inverso.<br /> <br /> También evitar la desreferencia de puntero NULL en unix_stream_read_generic si state-&amp;gt;msg es NULL y se escribe msg-&amp;gt;msg_get_inq. Un state-&amp;gt;msg NULL puede ocurrir al hacer splicing a partir del commit 2b514574f7e8 (&amp;#39;net: af_unix: implementar splice para sockets af_unix de stream&amp;#39;).<br /> <br /> También colapsar dos ramas usando un OR bit a bit.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> libceph: prevenir posibles lecturas fuera de límites en handle_auth_done()<br /> <br /> Realizar una comprobación explícita de límites en payload_len para evitar un posible acceso fuera de límites en la llamada.<br /> <br /> [ idryomov: registro de cambios ]

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> idpf: Corrección de fallo de puntero NULL de la RSS LUT en operaciones tempranas de ethtool<br /> <br /> La RSS LUT no se inicializa hasta que la interfaz se activa, causando el siguiente fallo de puntero NULL cuando se realizan operaciones de ethtool como rxhash on/off antes de que la interfaz se active por primera vez.<br /> <br /> Mover la inicialización de la RSS LUT de ndo_open a la creación de vport para asegurar que la LUT esté siempre disponible. Esto permite la configuración de RSS a través de ethtool antes de activar la interfaz. Simplificar la gestión de la LUT manteniendo todos los cambios en la copia blanda del controlador y programando ceros en la tabla de indirección cuando rxhash está deshabilitado. Aplazar la programación de HW hasta que la interfaz se active si está inactiva durante los cambios de configuración de rxhash y LUT.<br /> <br /> Pasos para reproducir:<br /> Cargar el controlador idpf; se crearán las interfaces<br /> modprobe idpf<br /> Antes de activar las interfaces, desactivar rxhash<br /> ethtool -K eth2 rxhash off<br /> <br /> [89408.371875] BUG: desreferencia de puntero NULL del kernel, dirección: 0000000000000000<br /> [89408.371908] #PF: acceso de lectura de supervisor en modo kernel<br /> [89408.371924] #PF: error_code(0x0000) - página no presente<br /> [89408.371940] PGD 0 P4D 0<br /> [89408.371953] Oops: Oops: 0000 [#1] SMP NOPTI<br /> <br /> [89408.372052] RIP: 0010:memcpy_orig+0x16/0x130<br /> [89408.372310] Traza de Llamada:<br /> [89408.372317] <br /> [89408.372326] ? idpf_set_features+0xfc/0x180 [idpf]<br /> [89408.372363] __netdev_update_features+0x295/0xde0<br /> [89408.372384] ethnl_set_features+0x15e/0x460<br /> [89408.372406] genl_family_rcv_msg_doit+0x11f/0x180<br /> [89408.372429] genl_rcv_msg+0x1ad/0x2b0<br /> [89408.372446] ? __pfx_ethnl_set_features+0x10/0x10<br /> [89408.372465] ? __pfx_genl_rcv_msg+0x10/0x10<br /> [89408.372482] netlink_rcv_skb+0x58/0x100<br /> [89408.372502] genl_rcv+0x2c/0x50<br /> [89408.372516] netlink_unicast+0x289/0x3e0<br /> [89408.372533] netlink_sendmsg+0x215/0x440<br /> [89408.372551] __sys_sendto+0x234/0x240<br /> [89408.372571] __x64_sys_sendto+0x28/0x30<br /> [89408.372585] x64_sys_call+0x1909/0x1da0<br /> [89408.372604] do_syscall_64+0x7a/0xfa0<br /> [89408.373140] ? clear_bhb_loop+0x60/0xb0<br /> [89408.373647] entry_SYSCALL_64_after_hwframe+0x76/0x7e<br /> [89408.378887] <br />

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> nfsd: proporcionar bloqueo para v4_end_grace<br /> <br /> Escribir en v4_end_grace puede competir con el apagado del servidor y resultar en que la memoria sea accedida después de haber sido liberada - reclaim_str_hashtbl en particular.<br /> <br /> No podemos mantener nfsd_mutex durante la llamada a nfsd4_end_grace() ya que se mantiene mientras se llama a client_tracking_op-&amp;gt;init() y eso puede esperar una llamada ascendente a nfsdcltrack que puede escribir en v4_end_grace, resultando en un interbloqueo.<br /> <br /> nfsd4_end_grace() también es llamada por la cola de trabajo &amp;#39;landromat&amp;#39; y esto no requiere bloqueo ya que el apagado del servidor detendrá el trabajo y esperará por él antes de liberar cualquier cosa a la que nfsd4_end_grace() pudiera acceder.<br /> <br /> Sin embargo, debemos asegurarnos de que escribir en v4_end_grace no reinicie el elemento de trabajo después de que el apagado ya lo haya esperado. Para esto añadimos una nueva bandera protegida con nn-&amp;gt;client_lock. Se establece solo mientras es seguro realizar llamadas de seguimiento de cliente, y v4_end_grace solo programa trabajo mientras la bandera está establecida con el spinlock mantenido.<br /> <br /> Así, este parche añade un campo nfsd_net &amp;#39;client_tracking_active&amp;#39; que se establece como se describe. Otro campo &amp;#39;grace_end_forced&amp;#39;, se establece cuando se escribe en v4_end_grace. Después de que esto se establece, y siempre que client_tracking_active esté establecido, el &amp;#39;laundromat&amp;#39; es programado. Este campo &amp;#39;grace_end_forced&amp;#39; omite otras comprobaciones para determinar si el período de gracia ha terminado.<br /> <br /> Esto resuelve una condición de carrera que puede resultar en uso después de liberación.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> net: mscc: ocelot: Corregir caída al añadir interfaz bajo un lag<br /> <br /> Commit 15faa1f67ab4 (&amp;#39;lan966x: Corregir caída al añadir interfaz bajo un lag&amp;#39;) solucionó un problema similar en el controlador lan966x causado por una desreferenciación de puntero NULL. La función ocelot_set_aggr_pgids() en el controlador ocelot tiene una lógica similar y es susceptible a la misma caída.<br /> <br /> Este problema afecta específicamente al frontend ocelot_vsc7514.c, que deja los puertos no utilizados como punteros NULL. El frontend felix_vsc9959.c no se ve afectado ya que utiliza el framework DSA que registra todos los puertos.<br /> <br /> Solucione esto comprobando si el puntero del puerto es válido antes de acceder a él.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> wifi: evitar la fuga de información del kernel de la estructura iw_point<br /> <br /> La estructura iw_point tiene un agujero de 32 bits en arquitecturas de 64 bits.<br /> <br /> struct iw_point {<br /> void __user *pointer; /* Puntero a los datos (en espacio de usuario) */<br /> __u16 length; /* número de campos o tamaño en bytes */<br /> __u16 flags; /* Parámetros opcionales */<br /> };<br /> <br /> Asegúrese de poner a cero la estructura para evitar la divulgación de 32 bits de datos del kernel al espacio de usuario.

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> net: corrige fuga de memoria en skb_segment_list para paquetes GRO<br /> <br /> Cuando se llama a skb_segment_list() durante el reenvío de paquetes, maneja paquetes que fueron agregados por el motor GRO.<br /> <br /> Históricamente, la lógica de segmentación en skb_segment_list asume que los segmentos individuales se dividen de un SKB padre y pueden necesitar llevar su propia contabilidad de memoria de socket. En consecuencia, el código transfiere truesize del padre a los segmentos recién creados.<br /> <br /> Antes del commit ed4cccef64c1 (&amp;#39;gro: corrige transferencia de propiedad&amp;#39;), esta resta de truesize en skb_segment_list() era válida porque los fragmentos aún llevaban una referencia al socket original.<br /> <br /> Sin embargo, el commit ed4cccef64c1 (&amp;#39;gro: corrige transferencia de propiedad&amp;#39;) cambió este comportamiento al asegurar que las entradas de fraglist se huérfanan explícitamente (skb-&amp;gt;sk = NULL) para evitar un huérfano ilegal más adelante en la pila. Este cambio significó que la carga completa de memoria del socket permaneció con el SKB de cabecera, pero la lógica de contabilidad correspondiente en skb_segment_list() nunca se actualizó.<br /> <br /> Como resultado, el código actual añade incondicionalmente el truesize de cada fragmento a delta_truesize y lo resta del SKB padre. Dado que los fragmentos ya no se cargan al socket, esta resta resulta en un recuento insuficiente efectivo de memoria cuando se libera la cabecera. Esto hace que sk_wmem_alloc permanezca distinto de cero, impidiendo la destrucción del socket y provocando una fuga de memoria persistente.<br /> <br /> La fuga puede observarse a través de KMEMLEAK al desmantelar el entorno de red:<br /> <br /> objeto sin referencia 0xffff8881e6eb9100 (tamaño 2048):<br /> comm "ping", pid 6720, jiffies 4295492526<br /> rastreo:<br /> kmem_cache_alloc_noprof+0x5c6/0x800<br /> sk_prot_alloc+0x5b/0x220<br /> sk_alloc+0x35/0xa00<br /> inet6_create.part.0+0x303/0x10d0<br /> __sock_create+0x248/0x640<br /> __sys_socket+0x11b/0x1d0<br /> <br /> Dado que skb_segment_list() se utiliza exclusivamente para paquetes SKB_GSO_FRAGLIST construidos por GRO, el ajuste de truesize se elimina.<br /> <br /> La llamada a skb_release_head_state() debe conservarse. Como se documenta en el commit cf673ed0e057 (&amp;#39;net: corrige fuga de recuento de referencias de segmentación de fraglist&amp;#39;), todavía es necesario para descartar correctamente las referencias a extensiones SKB que pueden ser sobrescritas durante __copy_skb_header().

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta:<br /> <br /> dm-verity: deshabilitar la corrección de errores hacia adelante recursiva<br /> <br /> Hay dos problemas con la corrección recursiva:<br /> <br /> 1. Puede causar una denegación de servicio. En fec_read_bufs, hay un bucle que tiene 253 iteraciones. Para cada iteración, podemos llamar a verity_hash_for_block recursivamente. Hay un límite de 4 recursiones anidadas, lo que significa que puede haber como máximo 253^4 (4 mil millones) iteraciones. El equipo de QE de Red Hat creó una imagen que lleva a dm-verity a este límite, y esta imagen simplemente hace que el proceso udev-worker se quede atascado en el estado &amp;#39;D&amp;#39;.<br /> <br /> 2. No funciona. En fec_read_bufs almacenamos datos en la variable &amp;#39;fio-&amp;gt;bufs&amp;#39;, pero fio bufs se comparte entre invocaciones recursivas; si &amp;#39;verity_hash_for_block&amp;#39; invocara la corrección recursivamente, sobrescribiría los fio-&amp;gt;bufs parcialmente llenos.

Un desbordamiento de entero con signo en docopt.cpp v0.6.2 (LeafPattern::match en docopt_private.h) al fusionar contadores de ocurrencias (p. ej., LONG_MAX predeterminado + primer usuario &amp;#39;-v/--verbose&amp;#39;) puede causar un &amp;#39;counter wrap&amp;#39; (semántica negativa/ilimitada) y conducir a una omisión de lógica/política en aplicaciones que dependen de límites basados en ocurrencias, control de velocidad (&amp;#39;rate-gating&amp;#39;) o interruptores de seguridad. En compilaciones reforzadas (p. ej., UBSan o -ftrapv), el desbordamiento también puede resultar en la interrupción del proceso (DoS).

Desreferencia de puntero nulo en free5gc pcf 1.4.0 en el archivo internal/sbi/processor/ampolicy.go en la función HandleDeletePoliciesPolAssoId.

Una carrera TOCTOU y de symlink en la finalización de carga de svenstaro/miniserve 0.32.0 (cuando las cargas están habilitadas) puede permitir a un atacante sobrescribir archivos arbitrarios fuera de la raíz de carga/documentos prevista en despliegues donde el atacante puede crear/reemplazar entradas del sistema de archivos en el directorio de destino de carga (p. ej., directorio/volumen compartido y escribible).