Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: dm: fix dm_blk_report_zones Si dm_get_live_table() devolvía NULL, dm_put_live_table() nunca se llamaba. Además, es posible que md->zone_revalidate_map cambie al llamar a esta función. Solo léalo una vez, para que siempre usemos el mismo valor. De lo contrario, podríamos perder una llamada a dm_put_live_table(). Finalmente, mientras md->zone_revalidate_map está configurado y un proceso está llamando a blk_revalidate_disk_zones() para configurar los recursos de emulación de anexión de zona, es posible que otro proceso, quizás activado por blkdev_report_zones_ioctl(), llame a dm_blk_report_zones(). Si blk_revalidate_disk_zones() falla, estos recursos pueden liberarse mientras el otro proceso aún los está usando, causando un error de uso después de liberación. blk_revalidate_disk_zones() solo se llamará al configurar inicialmente los recursos de emulación de anexión de zona, como al configurar una tabla dm-crypt zonificada por primera vez. Los intercambios de tabla posteriores no establecerán md->zone_revalidate_map ni llamarán a blk_revalidate_disk_zones(). Sin embargo, debe llamarse utilizando la nueva tabla (referenciada por md->zone_revalidate_map) y los nuevos límites de cola mientras el dispositivo DM esté suspendido. dm_blk_report_zones() necesita distinguir entre una llamada a blk_revalidate_disk_zones(), que debe permitir el uso de md->zone_revalidate_map para acceder a esta tabla aún no activada, y todas las demás llamadas a dm_blk_report_zones(), que no deben permitirse mientras el dispositivo esté suspendido y no puedan usar md->zone_revalidate_map, ya que los recursos de la zona podrían ser liberados por el proceso que llama a blk_revalidate_disk_zones(). Para solucionar esto, se debe rastrear el proceso que establece md->zone_revalidate_map en dm_revalidate_zones() y permitir que solo ese proceso lo use en dm_blk_report_zones().

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: Bluetooth: MGMT: rechazar comandos HCI_CMD_SYNC malformados En 'mgmt_hci_cmd_sync()', verifique si el tamaño de los parámetros pasados en 'struct mgmt_cp_hci_cmd_sync' coincide con el tamaño total de los datos (es decir, 'sizeof(struct mgmt_cp_hci_cmd_sync)' más los bytes finales). De lo contrario, un 'params_len' grande y no válido hará que 'hci_cmd_sync_alloc()' haga 'skb_put_data()' desde un área más allá de la que realmente se pasó a 'mgmt_hci_cmd_sync()'.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: drm/connector: solo se llama al auxiliar de audio HDMI plugged cb si no es nulo. Al eliminar el controlador, sound/soc/codecs/hdmi-codec.c llama a plugged_cb con NULL como función de devolución de llamada y codec_dev, como se observa en su función hdmi_remove. El auxiliar de audio HDMI intenta entonces llamar a dicho puntero de función nulo, pero produce un error. Para solucionar esto, ejecute la devolución de llamada solo si fn no es nulo. Esto significa que los miembros .plugged_cb y .plugged_cb_dev se borran correctamente.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: coresight: impide la desactivación de la configuración activa al habilitarla. Al habilitar la configuración activa mediante cscfg_csdev_enable_active_config(), esta podría desactivarse mediante la interfaz sysfs de configfs. Esto podría generar un problema de UAF en el siguiente escenario: CPU0 CPU1 (habilitación sysfs) carga el módulo cscfg_load_config_sets() activa la configuración. // sysfs (sys_active_cnt == 1) ... cscfg_csdev_enable_active_config() lock(csdev->cscfg_csdev_lock) // aquí carga la configuración activada por CPU1 unlock(csdev->cscfg_csdev_lock) desactiva la configuración // sysfs (sys_activec_cnt == 0) cscfg_unload_config_sets() descarga el módulo // acceso a config_desc que se liberó // mientras se descargaba el módulo. cscfg_csdev_enable_config Para solucionar esto, utilice active_cnt de cscfg_config_desc como un recuento de referencia que se mantendrá cuando: - active la configuración. - habilite la configuración activada y coloque la referencia del módulo cuando config_active_cnt == 0.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: coresight: mantener cscfg_csdev_lock mientras se elimina cscfg de csdev Habrá un posible escenario de ejecución para la configuración de coresight: CPU0 CPU1 (habilitación de rendimiento) cargar módulo cscfg_load_config_sets() activar configuración. // sysfs (sys_active_cnt == 1) ... cscfg_csdev_enable_active_config() lock(csdev->cscfg_csdev_lock) desactiva la configuración // sysfs (sys_activec_cnt == 0) cscfg_unload_config_sets() cscfg_remove_owned_csdev_configs() // aquí se carga la configuración activada por CPU1 unlock(csdev->cscfg_csdev_lock) iterando config_csdev_list podría estar en competencia con la eliminación de la entrada de config_csdev_list. Para resolver esta competencia, mantenga presionada la tecla csdev->cscfg_csdev_lock() mientras cscfg_remove_owned_csdev_configs()

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: usb: acpi: Evitar la desreferencia de puntero nulo en usb_acpi_add_usb4_devlink(). Como se demuestra en la corrección para update_port_device_state, commit 12783c0b9e2c ("usb: core: Evitar la desreferencia de puntero nulo en update_port_device_state"), usb_hub_to_struct_hub() puede devolver NULL en ciertos escenarios, como durante la desvinculación del controlador del concentrador o en condiciones de ejecuciones de desmontaje, incluso si la estructura usb_device subyacente existe. Además, todos los demás lugares que llaman a usb_hub_to_struct_hub() en el mismo archivo comprueban si hay valores de retorno NULL. Si usb_hub_to_struct_hub() devuelve NULL, el acceso posterior a hub->ports[udev->portnum - 1] provocará una desreferencia de puntero nulo.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: serial: Se corrige la posible desreferencia de puntero nulo en mlb_usio_probe(). devm_ioremap() puede devolver NULL en caso de error. Actualmente, mlb_usio_probe() no verifica este caso, lo que podría provocar una desreferencia de puntero NULL. Agregue una comprobación de NULL después de devm_ioremap() para evitar este problema.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: page_pool: Fix use-after-free en page_pool_recycle_in_ring syzbot informó un uaf en page_pool_recycle_in_ring: BUG: KASAN: slab-use-after-free en lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 Lectura de tamaño 8 en la dirección ffff8880286045a0 por la tarea syz.0.284/6943 CPU: 0 UID: 0 PID: 6943 Comm: syz.0.284 No contaminado 6.13.0-rc3-syzkaller-gdfa94ce54f41 #0 Nombre del hardware: Google Google Compute Engine/Google Compute Engine, BIOS Google 13/09/2024 Rastreo de llamadas: __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 __raw_spin_unlock_bh include/linux/spinlock_api_smp.h:165 [inline] _raw_spin_unlock_bh+0x1b/0x40 kernel/locking/spinlock.c:210 spin_unlock_bh include/linux/spinlock.h:396 [inline] ptr_ring_produce_bh include/linux/ptr_ring.h:164 [inline] page_pool_recycle_in_ring net/core/page_pool.c:707 [inline] page_pool_put_unrefed_netmem+0x748/0xb00 net/core/page_pool.c:826 page_pool_put_netmem include/net/page_pool/helpers.h:323 [inline] page_pool_put_full_netmem include/net/page_pool/helpers.h:353 [inline] napi_pp_put_page+0x149/0x2b0 net/core/skbuff.c:1036 skb_pp_recycle net/core/skbuff.c:1047 [inline] skb_free_head net/core/skbuff.c:1094 [inline] skb_release_data+0x6c4/0x8a0 net/core/skbuff.c:1125 skb_release_all net/core/skbuff.c:1190 [inline] __kfree_skb net/core/skbuff.c:1204 [inline] sk_skb_reason_drop+0x1c9/0x380 net/core/skbuff.c:1242 kfree_skb_reason include/linux/skbuff.h:1263 [inline] __skb_queue_purge_reason include/linux/skbuff.h:3343 [inline] root cause is: page_pool_recycle_in_ring ptr_ring_produce spin_lock(&r->producer_lock); WRITE_ONCE(r->queue[r->producer++], ptr) //recycle last page to pool page_pool_release page_pool_scrub page_pool_empty_ring ptr_ring_consume page_pool_return_page //release all page __page_pool_destroy free_percpu(pool->recycle_stats); free(pool) //free spin_unlock(&r->producer_lock); //pool->ring uaf read recycle_stat_inc(pool, ring); page_pool puede estar libre mientras el grupo de páginas recicle la última página del anillo. Se ha añadido una barrera de bloqueo del productor a page_pool_release para evitar que el grupo de páginas esté libre antes de que se hayan reciclado todas las páginas. recycle_stat_inc() está vacío cuando CONFIG_PAGE_POOL_STATS no está habilitado, lo que activará la advertencia de compilación Wempty-body. Se ha añadido una definición para la macro de estadísticas del grupo para corregir la advertencia.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: iio: adc: ad4851: corrección del manejo del puntero de canal ad4858. El puntero devuelto por ad4851_parse_channels_common() se incrementa internamente a medida que se rellena cada canal. En ad4858_parse_channels(), el mismo puntero se incrementó aún más al configurar los campos ext_scan_type para cada canal. Esto provocó que indio_dev->channels se configurara en un puntero más allá del final de la matriz asignada, lo que podría causar corrupción de memoria o un comportamiento indefinido. Corrija esto iterando sobre los canales utilizando un índice explícito en lugar de incrementar el puntero. Esto preserva el puntero base original y garantiza que todos los metadatos del canal se configuren correctamente.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: wifi: iwlwifi: mld: evitar pánico en caso de fallo de inicialización. En caso de un error durante la inicialización, se establecerá in_hw_restart, pero nunca se borrará. En su lugar, volveremos a intentar la inicialización y luego actuaremos como si estuviéramos en un reinicio cuando en realidad no lo estamos. Esto provoca (entre otras cosas) una desreferencia de puntero NULL al cancelar rx_omi::finished_work, que ni siquiera se inicializó, porque creíamos que estábamos en hw_restart. Establezca in_hw_restart en verdadero solo si el firmware se está ejecutando; entonces, sabremos que el firmware se cargó correctamente y no entraremos en el bucle de reintentos.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: gve: se ha añadido la comprobación de valores nulos (NULL) faltante para gve_alloc_pending_packet() en TX DQO. gve_alloc_pending_packet() puede devolver valores nulos (NULL), pero gve_tx_add_skb_dqo() no los comprobaba antes de desreferenciar el puntero devuelto. Se ha añadido una comprobación de valores nulos (NULL) faltante para evitar una posible desreferencia de punteros nulos cuando falla la asignación. Esto mejora la robustez en escenarios con poca memoria.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: net: stmmac: asegúrese de que ptp_rate no sea 0 antes de configurar el sellado de tiempo. Los controladores de la plataforma stmmac que no incluyen en código abierto el valor clk_ptp_rate tras obtener el predeterminado del árbol de dispositivos pueden terminar con 0 en clk_ptp_rate (ya que clk_get_rate puede devolver 0). Esto se propagará hasta la inicialización de PTP al iniciar la interfaz, lo que provocará una división por 0: División por cero en el kernel. CPU: 1 UID: 0 PID: 1 Comm: swapper/0 No contaminado 6.12.30-00001-g48313bd5768a #22 Nombre del hardware: STM32 (Compatibilidad con árbol de dispositivos) Rastreo de llamadas: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x6c/0x8c dump_stack_lvl from Ldiv0_64+0x8/0x18 Ldiv0_64 from stmmac_init_tstamp_counter+0x190/0x1a4 stmmac_init_tstamp_counter from stmmac_hw_setup+0xc1c/0x111c stmmac_hw_setup from __stmmac_open+0x18c/0x434 __stmmac_open from stmmac_open+0x3c/0xbc stmmac_open from __dev_open+0xf4/0x1ac __dev_open from __dev_change_flags+0x1cc/0x224 __dev_change_flags from dev_change_flags+0x24/0x60 dev_change_flags from ip_auto_config+0x2e8/0x11a0 ip_auto_config from do_one_initcall+0x84/0x33c do_one_initcall from kernel_init_freeable+0x1b8/0x214 kernel_init_freeable from kernel_init+0x24/0x140 kernel_init from ret_from_fork+0x14/0x28 Exception stack(0xe0815fb0 to 0xe0815ff8) Evite esta división por 0 sumando Una comprobación explícita y un registro de errores sobre el problema. Mientras tanto, elimine la misma comprobación de stmmac_ptp_register, que se convierte en un duplicado.