Gregkh

تحدث عملية كتابة خارج نطاق الذاكرة عند تشغيل معالجة HLINK BUMP على إدخالات الملفات التي تم تعيين علامة `FLAG HLINKED` عليها، في حين أن خيار الحفاظ على الروابط الثابتة غير نشط. يحدث هذا لأن تخطيط `file struct` يفتقر إلى الحقل `F SUM`، مما يسمح بالوصول إلى الذاكرة خارج نطاق البنية المخصصة ويؤدي إلى تلف بيانات الكومة أو المكدس المجاورة.

تسمح عملية الكتابة خارج حدود الـ«هيوب» لمهاجمين عن بُعد غير مصدّقين بكتابة بايت واحد يتحكم فيه المهاجم بعد نهاية تخصيص الـ«هيوب». يحدث هذا عندما يتم تزويد وحدة rsync الخلفية للقراءة فقط بمدخل «files-from» مُصمم خصيصًا يحتوي على كل من شرطة مائلة داخلية وأخرى ختامية، مما يتسبب في قيام الدالة `add implied include()` بعدم احتساب الشرطة المائلة الختامية بشكل صحيح أثناء تحديد حجم المخزن المؤقت للوجهة.

يحدث استدعاء مؤشر فارغ في العملية الفرعية للبرنامج الخفي. يمكن لمهاجم عن بُعد التسبب في تعطل الخدمة عن طريق إرسال قائمة ملفات يكون العنصر الأول فيها عبارة عن نقطة (.) لم يتم كتابتها كدليل. تقوم الخدمة بمعالجة العنصر الأول في قائمة الملفات كمؤشر لهيكل دليل دون التحقق من نوع العنصر، مما يؤدي إلى إزالة مرجعية مؤشر غير صالح أو غير مُهيأ، الأمر الذي يؤدي إلى إنهاء اتصال العميل.

توجد ثغرة تسمح بكتابة ملفات عشوائية، حيث يمكن للمهاجمين كتابة ملفات خارج شجرة الوجهة المقصودة. ويحدث ذلك عن طريق تحديد مسار مطلق باستخدام الخيارين `--temp-dir` أو `--link-dest`، مما يتجاوز آلية تقييد إعادة التسمية. وهذا يسمح للقيم التي يتحكم فيها المهاجمون بكتابة ملفات في أي موقع يمكن لعملية rsync الوصول إليه.

توجد حالة تنافس على الروابط الرمزية (symlink) حيث يمكن لمهاجم محلي أن يجعل البرنامج يطبق قوائم التحكم في الوصول (ACLs) أو السمات الموسعة بشكل تعسفي على ملفات غير مقصودة. يحدث هذا عندما يتم استبدال رابط رمزي في مسار وجهة يمكن التنبؤ به بين عملية كتابة الملف واستدعاءات الدالة `acl set file()` أو `lsetxattr()` اللاحقة. من خلال استغلال هذه النافذة الزمنية، يمكن للمهاجم إعادة توجيه تطبيق قوائم التحكم في الوصول والسمات الموسعة إلى ملفات خارج شجرة الوجهة المقصودة، مما قد يؤدي إلى أذونات مرتفعة وتصعيد الامتيازات المحلية.

تسمح مشكلة في التحقق من صحة شهادات TLS للمهاجمين الموجودين على المسار باعتراض الجلسات المشفرة عن طريق تقديم شهادات موقعة ذاتيًا أو غير صالحة. يحدث ذلك لأن البرنامج يفشل في التحقق من صحة شهادات TLS الخاصة بالخادم مقابل هيئة إصدار الشهادات (CA) الموثوقة أو في التحقق من مطابقة اسم مضيف الشهادة. ونتيجة لذلك، يمكن للمهاجم فك تشفير محتوى الجلسة أو التلاعب به دون أن يكتشف العميل هذا التدخل.

توجد ثغرة كتابة خارج النطاق في الدالة `read args()`. يمكن لمرسل خبيث إتلاف ذاكرة الهيب المجاورة عن طريق تقديم قائمة حجج مصممة خصيصًا. يحدث هذا عندما يملأ عدد الحجج مساحة التخصيص `argv` بالضبط، مما يتسبب في كتابة حرف NULL الختامي خارج حدود التخصيص.

توجد عملية كتابة خارج نطاق في الدالة `parse size arg()`. تحدث هذه المشكلة لأن قيمة الإرجاع من الدالة `snprintf()` تُستخدم كمؤشر لمصفوفة في مقطع .bss دون إجراء فحص مناسب للحدود. عندما تقوم `snprintf()` باقتطاع سلسلة حجم منسقة، فإنها تُرجع عدد الأحرف التي كان من المفترض كتابتها، والتي قد تتجاوز طول المصفوفة. يؤدي هذا إلى عملية كتابة تستهدف ذاكرة خارج الحدود المقصودة، مما يؤدي إلى تلف ذاكرة .bss (مقطع من الذاكرة يُستخدم للمتغيرات العالمية والثابتة غير المُهيأة).

توجد مشكلة في نواة Linux حيث تفشل الدالة `xe vm madvise ioctl()` في التحقق من صحة مؤشرات جدول سمات الصفحات (PAT). وعلى وجه التحديد، فإن استخدام وضع التماسك `XE COH NONE` مع المخازن المؤقتة للوحدة المركزية (CPU) يسمح لوحدة معالجة الرسومات (GPU) بتجاوز ذاكرات التخزين المؤقتة للوحدة المركزية وقراءة البيانات الحساسة القديمة مباشرةً من ذاكرة الوصول العشوائي (DRAM). ويحدث ذلك لأن عملية مسح الصفحات التي يقوم بها النواة قبل إعادة تخصيصها قد تبقى في ذاكرة التخزين المؤقتة لوحدة المعالجة المركزية (CPU) كبيانات غير نظيفة، مما قد يؤدي إلى تسرب معلومات من الصفحات التي تم تحريرها سابقًا وتخص عمليات أخرى.

توجد مشكلة في الدالة `memcg reparent list lrus()` حيث يتم مسح إدخال xarray الخاص بمجموعة التحكم في الذاكرة (memcg) التي توشك على الانتهاء باستخدام `xas store(&xas, NULL)` قبل إعادة ربط قوائمها الخاصة بكل عقدة. يؤدي هذا التسلسل إلى حدوث حالة تنافس، حيث قد تفشل عملية `list lru del()` المتزامنة في العثور على الإدخال عبر `xa load()`، وتنتقل إلى مجموعة التحكم في الذاكرة الأم (memcg) في `lock list lru of memcg()`، وتنفذ `list del init()` على عنصر لا يزال مرتبطًا بقائمة مجموعة التحكم في الذاكرة (memcg) التي توشك على التوقف. إذا كان خيط آخر يحتفظ في الوقت نفسه بقفل كل عقدة في memcg الذي في طور التوقف — مثل أثناء عملية `list lru del()` أخرى أو استدعاء رد فعل معزول لـ `list lru walk one()` — فقد يقوم كلا الخيطين بتعديل المؤشرين `->next` و`->prev` لنفس القائمة المادية باستخدام أقفال مختلفة، مما يؤدي إلى تلف روابط العناصر المجاورة.

توجد مشكلة في مكون `accel/ivpu` حيث تفشل الدالة `get info ioctl()` في التحقق من صحة حجم المعلومات التي يتم إرجاعها من استعلام معلومات دفق المقاييس مقارنةً بحجم المخزن المؤقت المخصص. قد يؤدي هذا النقص في التحقق من الصحة إلى تجاوز سعة المخزن المؤقت إذا أرجعت البرامج الثابتة حجمًا أكبر من المخزن المؤقت المتاح.

يوجد تجاوز سعة الـ«هيوب» في الدالة `get manuf info()`. تحدث المشكلة لأن الدالة تقرأ عددًا من البايتات المحددة بواسطة الحقل `Size` من ذاكرة EEPROM I2C الخاصة بجهاز ما إلى مخزن مؤقت تم تخصيصه باستخدام `kmalloc obj()`، والذي له حجم ثابت يبلغ 10 بايت. وعلى الرغم من أن الحقل `Size` يتم التحقق من صحته في الدالة `check i2c image()` للتأكد من أنه لا يتجاوز 16384 بايت، إلا أنه لا يتم مقارنته بحجم المخزن المؤقت الفعلي. يمكن لجهاز USB ضار تعيين حقل `Size` إلى قيمة تصل إلى 16377، مما يؤدي إلى تجاوز سعة الذاكرة المؤقتة (heap overflow) بما يصل إلى 16367 بايت. بالإضافة إلى ذلك، تقوم الدالة `valid csum()` بالتكرار عبر المخزن المؤقت استنادًا إلى حقل `Size`، مما يزيد من تفاقم مشكلة الوصول خارج النطاق.

توجد مشكلة ”الاستخدام بعد التحرير“ (UAF) في برنامج تشغيل ALSA loopback. قد توقف الدالة `loopback check format()` جانب الالتقاط عند بدء التشغيل بمعلمات لا تتطابق مع دفق التقاط قيد التشغيل. وبينما يتم إجراء البحث عن النظير تحت `cable->lock`، يتم تنفيذ الدالة `snd pcm stop()` بعد تحرير القفل. يمكن لعملية إغلاق متزامنة إزالة إدخال التسجيل من `cable->streams[]` وتحرير مساحة الذاكرة الخاصة به أثناء التشغيل، في حين أن مسار تشغيل التشغيل لا يزال يحتفظ بمؤشر قديم لتيار فرعي نظير.

توجد مشكلة «استخدام بعد التحرير» (use-after-free) في نواة لينكس بسبب عدم وجود مرجع zerocopy في الدالتين `pskb carve inside header()` و`pskb carve inside nonlinear()`. تقوم كلتا الدالتين بنسخ رأس `skb shared info` إلى مخزن مؤقت جديد باستخدام `memcpy()`، والذي يتضمن مؤشر `destructor arg` (`uarg`) لـ skbs من نوع MSG ZEROCOPY. ونظرًا لأن هاتين الدالتين تفشلان في استدعاء `net zcopy get()` لـ `shinfo` الجديد، فإن عدد المراجع `uarg->refcnt` يمكن أن ينخفض إلى الصفر قبل الأوان. ويؤدي ذلك إلى تحرير `ubuf info msgzc` قبل الأوان بينما لا تزال حزم skb المرسلة (TX) تحتفظ بمؤشرات `destructor arg` نشطة. وقد تم التحقق من أن هذا الخلل يسمح لمستخدم محلي غير متمتع بامتيازات بالحصول على تصعيد كامل لامتيازات الجذر في تكوين النواة الافتراضي.

توجد مشكلة في مكون Thunderbolt حيث تستمد الدالة `tb xdp properties request()` طول النسخ لكل حزمة من رأس الاستجابة دون التحقق مما إذا كان يتناسب مع حجم مخزن البيانات المؤقت المخصص مسبقًا. يمكن لطرف ضار التلاعب بحقل الطول ليكون أكبر من `data length` المعلن، مما يؤدي إلى تلف في الذاكرة حيث تقوم `memcpy` بالكتابة خارج نطاق التخصيص المحدد بواسطة `kcalloc`.

توجد مشكلة في عدم التزامن في الدالة `nft inner parse l2l3()` عند معالجة حزم IPv6 الداخلية. في حين أن الدالة `ipv6 find hdr()` تحسب إزاحة رأس النقل بشكل صحيح من خلال اجتياز رؤوس الامتداد، يتم استبدال هذه القيمة بشكل غير صحيح بحساب يأخذ في الاعتبار رأس IPv6 الأساسي فقط. ينتج عن ذلك عدم تطابق بين `inner thoff`، التي تشير بشكل غير صحيح إلى بداية رأس التمديد، و`l4proto`، التي تحدد البروتوكول بشكل صحيح (على سبيل المثال، IPPROTO TCP). ويسمح هذا التباين بتزوير رأس النقل واحتمال تجاوز جدار الحماية.

يوجد تجاوز سعة عدد صحيح في الدالة `kvm reset dirty gfn()` ضمن مكون الآلة الافتراضية القائمة على النواة (KVM). يمكن لمهاجم محلي لديه حق الوصول إلى `/dev/kvm` التلاعب بمدخلات حلقة dirty لتسبب تجاوز u64 أثناء عملية جمع غير خاضعة للتدقيق. وهذا يسمح للمهاجم بتجاوز فحص الحدود، مما يؤدي إلى تحميل خارج الحدود لـ `kvm rmap head` ومسح مشروط لاحق لـ `PT WRITABLE MASK` في موقع الذاكرة الذي يشير إليه المؤشر المحمّل. يمكن أن تؤدي هذه الثغرة إلى كشف المعلومات أو رفض الخدمة.

توجد حالة تنافس في النظام الفرعي لوحدة إدارة ذاكرة الإدخال/الإخراج (IOMMU)، الذي يدير كيفية وصول الأجهزة إلى ذاكرة النظام. ويحدث هذا أثناء استعادة الجهاز عندما يتم توصيل عدة مجالات ذاكرة في وقت واحد. وعلى وجه التحديد، ترفض الدالة ` iommu group set domain internal()` عمليات ربط المجالات المتزامنة إذا كان أي جهاز في المجموعة قيد الاستعادة، مما يؤدي إلى تشغيل WARN ON في ` iommu group set domain nofail()`. قد يؤدي هذا إلى حالة «الاستخدام بعد التحرير» (UAF) — حيث يحاول النظام استخدام ذاكرة تم تحريرها بالفعل — مما قد يسمح لمهاجم محلي بتنفيذ تعليمات برمجية غير مصرح بها أو التسبب في تعطل النظام (رفض الخدمة).

يوجد عيب من نوع «الاستخدام بعد التحرير» (use-after-free) في الدالة `ipc idr alloc()` ضمن مسار «نقطة الفحص/الاستعادة» (checkpoint/restore) لتخصيص معرّفات SysV للتواصل بين العمليات (IPC). تقوم الدالة بإعادة توجيه الطلبات إلى `idr alloc()` بحد أقصى مفتوح. وعندما تمتلئ مساحة معرّفات SysV IPC الصالحة، قد تتجاوز عمليات التخصيص قيمة `ipc mni`، مما يؤدي إلى ظهور معرّفات تستخدم ترميز الفهرس العادي ولكنها تستهدف فتحات غير صحيحة أثناء البحث والإزالة. يؤدي هذا إلى تعطيل حالة IDR وقد يترك مؤشرًا معلقًا في إدخال IDR. وعلى وجه التحديد، بالنسبة للذاكرة المشتركة، قد تقوم الدالة `shm destroy()` بتحرير كائن مع ترك إدخال قديم يؤدي، عند الوصول إليه عبر `/proc/sysvipc/shm`، إلى إزالة مرجعية الذاكرة المحررة. يمكن للمهاجمين المحليين استغلال هذه المشكلة لتحقيق تصعيد امتيازات محلية إلى مستوى الجذر. تشمل التفاصيل الفنية ما يلي: - **الدالة المعرضة للخطر**: `ipc idr alloc()` - **المتغير المعرض للخطر**: `ids->next id` الذي يتم تمريره إلى `idr alloc()` بحد أعلى يساوي صفرًا.

توجد مشكلة تتعلق بـ«الاستخدام بعد التحرير» أو «الخلط بين الأنواع» في تطبيق بروتوكول SCTP في نواة لينكس. في الدالة `sctp sendmsg()`، يقوم المسار `SCTP SENDALL` بالتكرار عبر الارتباطات باستخدام `list for each entry safe()`، التي تقوم بتخزين الإدخال التالي مؤقتًا في المتغير `tmp`. تستدعي الدالة `sctp sendmsg to asoc()`، والتي قد تفرج عن قفل المأخذ داخل `sctp wait for sndbuf()`. وأثناء تحرير القفل، يمكن لخيط آخر ترحيل الارتباط المخزّن مؤقتًا إلى نقطة نهاية جديدة عبر `sctp sock migrate()` أو تحريره بسبب انقطاع الشبكة (ABORT). ونظرًا لعدم إعادة التحقق من صحة المتغير `tmp` بعد إعادة الحصول على القفل، فقد يتقدم المكرر إلى مؤشر قديم، مما يؤدي إلى استخدام بعد التحرير (use-after-free) إذا تم إغلاق المقبس، أو إلى خلط الأنواع (type confusion) إذا تم ترحيل الارتباط. يمكن أن يسمح مسار الخلط بين الأنواع بإجراء استدعاء غير مباشر خاضع للسيطرة عبر المؤشر `outqueue.sched->init sid`.