Vulnerabilidades

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: udp: configure SOCK_RCU_FREE anteriormente en udp_lib_get_port(). syzkaller activó la advertencia [0] en udp_v4_early_demux(). En udp_v[46]_early_demux() y sk_lookup(), no tocamos el recuento del sk buscado y usamos sock_pfree() como skb->destructor, por lo que verificamos SOCK_RCU_FREE para asegurarnos de que sea seguro acceder al sk durante el período de gracia de la UCR. Actualmente, SOCK_RCU_FREE está marcado para un socket vinculado después de colocarlo en la tabla hash. Además, la comprobación SOCK_RCU_FREE se realiza demasiado pronto en udp_v[46]_early_demux() y sk_lookup(), por lo que podría haber una pequeña ventana de ejecución: CPU1 CPU2 ---- ---- udp_v4_early_demux() udp_lib_get_port() | |- hlist_add_head_rcu() |- sk = __udp4_lib_demux_lookup() | |- DEBUG_NET_WARN_ON_ONCE(sk_is_refcounted(sk)); `- sock_set_flag(sk, SOCK_RCU_FREE) Tuvimos el mismo error en TCP y lo solucionamos en la confirmación 871019b22d1b ("net: configure SOCK_RCU_FREE antes de insertar el socket en la tabla hash"). Apliquemos la misma solución para UDP. [0]: ADVERTENCIA: CPU: 0 PID: 11198 en net/ipv4/udp.c:2599 udp_v4_early_demux+0x481/0xb70 net/ipv4/udp.c:2599 Módulos vinculados en: CPU: 0 PID: 11198 Comm: syz- ejecutor.1 No contaminado 6.9.0-g93bda33046e7 #13 Nombre del hardware: PC estándar QEMU (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 01/04/2014 RIP: 0010 :udp_v4_early_demux+0x481/0xb70 net/ipv4/udp.c:2599 Código: c5 7a 15 fe bb 01 00 00 00 44 89 e9 31 ff d3 e3 81 e3 bf ef ff ff 89 de e8 2c 74 15 fe 85 db 0f 85 02 06 00 00 e8 9f 7a 15 fe <0f> 0b e8 98 7a 15 fe 49 8d 7e 60 e8 4f 39 2f fe 49 c7 46 60 20 52 RSP: 0018:ffffc9000ce3fa58 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff8318c92c RDX: ffff888036ccde00 RSI: ffffffff8318c2f1 RDI: 0000000000000001 RBP: ffff88805a2dd6e0 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000 R11: 0001ffffffffffff R12: ffff88805a2dd680 R13: 0000000000000007 R14: ffff88800923f900 R15: ffff88805456004e FS: 00007fc449127640(0 000) GS:ffff88807dc00000(0000) knlGS: 0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fc449126e38 CR3: 000000003de4b002 CR4: 0000000000770ef0 DR0: 0000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000600 PKRU: 55555554 Llamar Seguimiento: ip_rcv_finish_core .constprop.0+0xbdd/0xd20 net/ipv4/ip_input.c:349 ip_rcv_finish+0xda/0x150 net/ipv4/ip_input.c:447 NF_HOOK include/linux/netfilter.h:314 [en línea] NF_HOOK include/linux/netfilter .h:308 [en línea] ip_rcv+0x16c/0x180 net/ipv4/ip_input.c:569 __netif_receive_skb_one_core+0xb3/0xe0 net/core/dev.c:5624 __netif_receive_skb+0x21/0xd0 net/core/dev.c:5738 skb_internal net/core/dev.c:5824 [en línea] netif_receive_skb+0x271/0x300 net/core/dev.c:5884 tun_rx_batched drivers/net/tun.c:1549 [en línea] tun_get_user+0x24db/0x2c50 drivers/net/tun. c:2002 tun_chr_write_iter+0x107/0x1a0 drivers/net/tun.c:2048 new_sync_write fs/read_write.c:497 [en línea] vfs_write+0x76f/0x8d0 fs/read_write.c:590 ksys_write+0xbf/0x190 fs/read_write.c : 643 __do_sys_write fs/read_write.c: 655 [en línea] __se_sys_write fs/read_write.c: 652 [inline] __x64_sys_write+0x41/0x50 fs/read_write.c: 652 x64_sy m /syscalls_64.h:2 do_syscall_x64 arch/x86/entry/common.c:52 [en línea] do_syscall_64+0x4b/0x110 arch/x86/entry/common.c:83 Entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0x7fc44a68bc Código 1f: 89 54 24 18 48 89 74 24 10 89 7c 24 08 e8 e9 cf f5 ff 48 8b 54 24 18 48 8b 74 24 10 41 89 c0 8b 7c 24 08 b8 01 00 00 00 0f 05 3d 00 f0 ff ff 77 31 44 89 c7 48 89 44 24 08 e8 3c d0 f5 ff 48 RSP: 002b:00007fc449126c90 EFLAGS: 00000293 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000004bc050 RCX: 00007fc44a68bc1f R ---truncado---

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: netfilter: nf_tables: prefiere nft_chain_validate nft_chain_validate ya realiza detección de bucle porque un ciclo resultará en un desbordamiento de la pila de llamadas (ctx->level >= NFT_JUMP_STACK_SIZE). También sigue los mapas a través de ->validate callback en nft_lookup, por lo que no parece haber razón para iterar los mapas nuevamente. nf_tables_check_loops() y todas sus funciones auxiliares se pueden eliminar. Esto mejora significativamente el tiempo de carga del conjunto de reglas, de 23 a 12 segundos. Esto también corrige un error de bloqueo. El código de detección de bucle antiguo puede provocar una recursividad ilimitada: ERROR: La página de protección de pila de TAREA fue visitada en... Vaya: página de protección de pila: 0000 [#1] PREEMPT SMP KASAN CPU: 4 PID: 1539 Comm: nft No contaminado 6.10. 0-rc5+ #1 [..] con un conjunto de reglas adecuado durante la validación de los almacenes de registros. No veo ninguna razón real para intentar verificar esto desde nft_validate_register_store(); en este punto, la transacción aún está en progreso, por lo que no tenemos una imagen completa del gráfico de reglas. Para nf-next, podría tener sentido eliminarlo o hacer que esto dependa de table->validate_state en caso de que podamos detectar un error antes (para mejorar el informe de errores al espacio de usuario).

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: ppp: rechazar paquetes reclamados como LCP pero en realidad con formato incorrecto Dado que 'ppp_async_encode()' asume paquetes LCP válidos (con código del 1 al 7 inclusive), agregue 'ppp_check_packet()' para garantizar que el paquete LCP tenga un cuerpo real más allá de los bytes del encabezado PPP_LCP y, de lo contrario, rechace los datos reclamados como LCP pero en realidad con formato incorrecto.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: net: ethernet: lantiq_etop: fix double free in detach El número del descriptor publicado actualmente nunca se incrementa, lo que da como resultado que el mismo skb se publique varias veces.

En el kernel de Linux se ha resuelto la siguiente vulnerabilidad: sched/deadline: Reparar fuga de referencia de task_struct Durante la ejecución de la siguiente prueba de estrés con linux-rt: estrés-ng --ciclic 30 --timeout 30 --minimize --quiet kmemleak informó con frecuencia una pérdida de memoria relacionada con task_struct: objeto sin referencia 0xffff8881305b8000 (tamaño 16136): comm "stress-ng", pid 614, jiffies 4294883961 (edad 286.412 s) volcado hexadecimal de objeto (primeros 32 bytes): 02 40 00 00 00 00 00 00 00 00 00 00 00 00 00 00 .@.............. 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ........ ........ volcado hexadecimal de depuración (primeros 16 bytes): 53 09 00 00 00 00 00 00 00 00 00 00 00 00 00 00 S............... rastreo inverso : [<00000000046b6790>] dup_task_struct+0x30/0x540 [<00000000c5ca0f0b>] copy_process+0x3d9/0x50e0 [<00000000ced59777>] kernel_clone+0xb0/0x770 [<00000000a50befd c>] __do_sys_clone+0xb6/0xf0 [<000000001dbf2008>] do_syscall_64+0x5d/ 0xf0 [<00000000552900ff>] Entry_SYSCALL_64_after_hwframe+0x6e/0x76 El problema ocurre en start_dl_timer(), que incrementa el recuento de referencias de task_struct y establece un temporizador. Se supone que la devolución de llamada del temporizador, dl_task_timer, disminuye el recuento de referencia al expirar. Sin embargo, si se llama a enqueue_task_dl() antes de que expire el temporizador y lo cancela, el recuento de referencias no disminuye, lo que provoca la fuga. Este parche corrige la fuga de referencia al garantizar que el recuento de referencias de task_struct disminuya correctamente cuando se cancela el temporizador.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: misc: fastrpc: restringe la aplicación que no es de confianza para que se conecte a un PD privilegiado. La aplicación que no es de confianza con acceso únicamente al nodo de dispositivo fastrpc no seguro puede conectarse a root_pd o a PD estáticos si puede realizar el inicio respectivo. pedido. Esto puede causar problemas ya que la aplicación que no es de confianza puede enviar solicitudes incorrectas a root_pd o PD estáticos. Agregue cambios para rechazar la conexión a PD privilegiados si la solicitud se realiza mediante un nodo de dispositivo fastrpc no seguro.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: misc: fastrpc: corrige la pérdida de memoria en la operación de conexión del daemon de audio. El daemon PD de audio envía el nombre como parte de la llamada init IOCTL. Este nombre debe copiarse en el kernel para el que se asigna la memoria. Esta memoria nunca se libera, lo que podría provocar una pérdida de memoria. Libera la memoria cuando no sea necesaria.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mmc: davinci_mmc: Evita que el tamaño de los datos transmitidos exceda la longitud de sgm No se realiza ninguna verificación del tamaño de los datos a transmitir. Esto provoca un pánico en el kernel cuando este tamaño excede la longitud de sg_miter. Limite el número de bytes transmitidos a sgm->length.

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: nvmem: core: limita los permisos de cell sysfs a los del atributo principal. El atributo cell sysfs no debe proporcionar más acceso a los datos de nvmem que el propio atributo principal. Por ejemplo, si se configuró nvme_config::root_only, el atributo de celda aún proporcionaría acceso de lectura a todos. Oculte los permisos que no están disponibles en el atributo principal.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: mm/filemap: omita para crear un caché de página del tamaño de PMD si es necesario. En ARM64, HPAGE_PMD_ORDER es 13 cuando el tamaño de página base es 64 KB. Xarray no puede admitir la caché de páginas de tamaño PMD, como lo indican los siguientes mensajes de error. ------------[ cortar aquí ]------------ ADVERTENCIA: CPU: 35 PID: 7484 en lib/xarray.c:1025 xas_split_alloc+0xf8/0x128 Módulos vinculado en: nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib \ nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct \ nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 \ ip_set rfkill nf_tables nfnetlink vfat fat virtio_balloon drm \ fuse xfs libcrc32c crct10dif_ce ghash_ce sha2_ce sha256_arm64 \ sha1_ce virtio_net net_failover virtio_console virtio_blk failover \ dimlib virtio_mmio CPU: 35 PID : 7484 Comm: prueba Kdump: cargado Contaminado: GW 6.10.0-rc5-gavin+ #9 Nombre del hardware: QEMU KVM Virtual Machine, BIOS edk2-20240524-1.el9 24/05/2024 pstate: 83400005 (Nzcv daif +PAN - UAO +TCO +DIT -SSBS BTYPE=--) pc: xas_split_alloc+0xf8/0x128 lr: split_huge_page_to_list_to_order+0x1c4/0x720 sp: ffff800087a4f6c0 x29: ffff800087a4f6c0 x28: 0 x27: 000000001fffffff x26: 0000000000000c40 x25: 000000000000000d x24: ffff00010625b858 x23: ffff800087a4f720 x22: ffffffdfc0780000 x21: 0000000000000000 x20: 0000000000000000 x19: ffffffdfc0780000 x18: 000000001ff40000 x17: 00000000ffffffff x16: 0018000000000 x15: 51ec004000000000 x14: 0000e00000000000 x13: 0000000000002000 x12: 0000000000000020 x11: 51ec000000000000 x10: 1c0ffff8000 x9: ffffbeb961a44d28 x8: 0000000000000003 x7: ffffffdfc0456420 x6: ffff0000e1aa6eb8 x5: 20bf08b4fe778fca x4: ffffffdfc0456420 x3: 0000000000000c40 x2: 000000000000000d x1: 000000000000000c x0: 0000000000 000000 Rastreo de llamadas: xas_split_alloc+0xf8/0x128 split_huge_page_to_list_to_order+0x1c4/0x720 truncate_inode_partial_folio+0xdc/0x160 truncate_inode_pages_range+0x1b4/0x4a8 truncate_pagecache_range+0x84/0xa0 xfs _flush_unmap_range+0x70 /0x90 [xfs] xfs_file_fallocate+0xfc/0x4d8 [xfs] vfs_fallocate+0x124/0x2e8 ksys_fallocate+0x4c/0xa0 __arm64_sys_fallocate+0x24/0x38 invoke_syscall.constprop.0+0x7c/0xd8 do_el0_ svc+0xb4/0xd0 el0_svc+0x44/0x1d8 el0t_64_sync_handler+0x134 /0x150 el0t_64_sync+0x17c/0x180 Corríjalo omitiendo la asignación de caché de página de tamaño PMD cuando su tamaño sea mayor que MAX_PAGECACHE_ORDER. Para este caso específico, recurriremos a la ruta normal donde la ventana de lectura anticipada está determinada por el archivo sysfs de BDI (read_ahead_kb).

En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: mm: vmalloc: comprueba si hay un índice hash en cpu_possible_mask El problema es que hay sistemas donde cpu_possible_mask tiene espacios entre las CPU configuradas, por ejemplo SPARC. En este escenario, la función hash addr_to_vb_xa() puede devolver un índice que accede a un área de CPU no posible y no configurada usando la macro per_cpu(). Esto da como resultado un ¡Uy en SPARC! También se utiliza una vmap_block_queue por CPU como tabla hash, asumiendo incorrectamente que cpu_possible_mask no tiene espacios. Solucionarlo ajustando un índice a la siguiente CPU posible.

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: Corrija userfaultfd_api para devolver EINVAL como se esperaba. Actualmente, si solicitamos una función que no está configurada en la configuración del kernel, fallamos silenciosamente y devolvemos todas las funciones disponibles. Sin embargo, la página de manual indica que debemos devolver un EINVAL. Necesitamos solucionar este problema ya que podemos terminar con una advertencia del Kernel si un programa solicita la característica UFFD_FEATURE_WP_UNPOPULATED en un kernel con la configuración no configurada con esta característica. [ 200.812896] ADVERTENCIA: CPU: 91 PID: 13634 en mm/memory.c:1660 zap_pte_range+0x43d/0x660 [ 200.820738] Módulos vinculados en: [ 200.869387] CPU: 91 PID: 13634 Comm: userfaultfd Kdump: cargado No contiene ted 6.9. 0-rc5+ #8 [ 200.877477] Nombre del hardware: Dell Inc. PowerEdge R6525/0N7YGH, BIOS 2.7.3 30/03/2022 [ 200.885052] RIP: 0010:zap_pte_range+0x43d/0x660