Syzkaller

اسم البرنامج المعرض للخطر والإصدارات المتأثرة نواة لينكس (الإصدارات المتأثرة غير محددة) الوصف احتوت نواة لينكس على ثغرة في مكون net/rose، حيث كان من الممكن حدوث إزالة مرجعية لمؤشر NULL في الدالة `rose transmit link` أثناء محاولة إعادة الاتصال. نشأت هذه المشكلة لأن الدالة `rose connect()` لم تتضمن فحصًا لحالة TCP SYN SENT، مما سمح بمحاولة اتصال ثانية أثناء إجراء المحاولة الأولى، مما أدى إلى استبدال `rose->neighbour` بقيمة NULL. وبالتالي، فإن إغلاق المأخذ (socket) سيؤدي إلى استدعاء الدالة `rose write internal()` ثم `rose transmit link(skb, NULL)`، مما يؤدي إلى إزالة مرجعية مؤشر NULL. التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

توجد حالة تنافس في النظام الفرعي لأحداث الأداء (perf) بنواة لينكس أثناء إدارة المخزن المؤقت الحلقية. تحدث المشكلة في الدالة `perf mmap()` عندما يفشل إعداد `mmap()` ويتم تنفيذ `mmap()` متزامن على حدث تابع. على وجه التحديد، يتم تعيين `ring buffer` (`rb`) إلى `event->rb` أثناء الاحتفاظ بـ `mmap mutex`، ولكن يتم تحرير الموتكس قبل استدعاء `map range()`. إذا فشلت `map range()`، يتم استدعاء `perf mmap close()` لإجراء التنظيف. ونظرًا لإطلاق الميوتكس، يمكن لخيط آخر الحصول عليه، ورؤية مؤشر `event->rb` الصالح، ومحاولة زيادة عدد مرات الإشارة إليه. وإذا كانت عملية التنظيف قد خفضت العدد بالفعل إلى الصفر، فإن ذلك يؤدي إلى حالة «الاستخدام بعد التحرير» (UAF) أو تحذير من تشبع عدد مرات الإشارة، مما قد يؤدي إلى رفض الخدمة.

يوجد خلل في تنفيذ NTFS3 في نواة لينكس يتعلق بالذاكرة غير المُهيأة بعد فشل عملية `mi read` داخل `mi format new`. ينشأ المشكل من احتمال تلقي الدالة `ntfs get bh()` مخزنًا مؤقتًا من `sb getblk()` غير محدث. وقد يؤدي ذلك إلى إضافة مخزن مؤقت يحتوي على بيانات غير مهيأة إلى سجل جدول الملفات الرئيسي (MFT)، مما يؤدي إلى حدوث خطأ في نظام إدارة أمان الذاكرة في النواة (KMSAN) عند محاولة تحميل هذا السجل. يتضمن الإصلاح التأكد من وضع علامة «محدث» على المخزن المؤقت قبل استخدامه.

توجد ثغرة في وظيفة مؤقت ALSA في نواة لينكس. وعلى وجه التحديد، داخل الدالة `snd utimer create()`، تحدث مشكلة محتملة في حالة إرجاع الدالة `kasprintf()` القيمة NULL. قد يؤدي ذلك إلى استدعاء الدالة `snd utimer put id()`، التي تحاول لاحقًا تحرير معرّف غير مخصص (0) باستخدام الدالة `ida free()`. تم الإبلاغ عن هذه الحالة بواسطة أداة الفوزر syzkaller.

### اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات نواة لينكس 6.15.0-rc4-syzkaller-00040-g8bac8898fe39 ### الوصف: تحتوي نواة لينكس على ثغرة أمنية داخل النظام الفرعي bpf. وعلى وجه التحديد، تظهر المشكلة عند إنشاء برنامج bpf، حيث تعتمد المتغير `fp->jit requested` على `bpf jit enable`. ويحدث ذلك عندما لا يكون `CONFIG BPF JIT ALWAYS ON` مُعرَّفًا ويكون `bpf jit enable` مُعرَّفًا بقيمة 1، مما يجعل البنية تحاول الترجمة الفورية (JIT) للبرنامج. إذا فشل الترجمة الفورية (JIT) بسبب حقن الأخطاء، يُعامل البرنامج بشكل خاطئ على أنه صالح، مما يؤدي إلى استدعاء الدالة ` bpf prog ret0 warn` وإصدار تحذير. ### التوصيات: إصدار نواة Linux 6.15.0-rc4-syzkaller-00040-g8bac8898fe39: تأكد من تعيين `CONFIG BPF JIT ALWAYS ON`، أو إذا كان `bpf jit enable` معينًا بقيمة 1، فتأكد من أن التجميع JIT لا يفشل بسبب حقن الأخطاء.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات نواة لينكس الأقدم من 6.13.0 الوصف: تم تحديد مشكلة «استخدام بعد التحرير» (use-after-free) في نواة لينكس، وتحديدًا في الدالة `geneve find dev()`. تحدث هذه المشكلة عندما تقوم الدالة `geneve configure()` بربط `struct geneve dev.next` بـ `net generic(net, geneve net id)->geneve list`، ويتم إلغاء ربط مساحة اسم الشبكة، مما يؤدي إلى تحرير الجهاز بينما لا يزال `geneve dev.next` الخاص به مرتبطًا بمساحة اسم الشبكة الخاصة بمقبس UDP الخلفي. قد يؤدي ذلك إلى حدوث خطأ «استخدام بعد التحرير» (use-after-free) عند إنشاء جهاز geneve آخر في مساحة اسم الشبكة. يتم حل المشكلة باستدعاء `geneve dellink()` بدلاً من `geneve destroy tunnels()`. التوصيات: لحل هذه المشكلة، قم بتحديث نواة Linux إلى إصدار يتضمن تصحيحًا لهذه الثغرة الأمنية. كحل مؤقت، ضع في اعتبارك تعطيل الدالة `geneve find dev()` حتى يتوفر تصحيح. قم بتقييد الوصول إلى البنية المعرضة للخطر `geneve dev` لتقليل مخاطر الاستغلال. تجنب استخدام الدالة `geneve configure()` في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.

تم تحديد ثغرة أمنية من نوع ”الاستخدام بعد التحرير“ (use-after-free) في نواة Linux، وتحديدًا في وحدة ipvlan. تظهر هذه المشكلة عند تشغيل وظيفة linkwatch لجهاز ipvlan، مما قد يؤدي إلى تحرير الجهاز الأدنى قبل جهاز ipvlan، مما يؤدي بدوره إلى حدوث خطأ ”الاستخدام بعد التحرير“ في الدالة ipvlan get iflink(). يمكن معالجة هذه الثغرة عن طريق تأخير إلغاء تسجيل الجهاز الأدنى، على غرار الطريقة المتبعة في وحدتي vlan وmacvlan.

توجد ثغرة في نواة لينكس تتعلق بمعالجة إطارات High-Speed Resilient (HSR). قد يؤدي استلام إطار HSR دون وجود مساحة كافية لاستيعاب علامة HSR داخل skb (مخزن مؤقت للمقبس) إلى تعطل النواة، وتحديدًا حدوث خطأ في النواة ناتج عن رمز تشغيل غير صالح. تنشأ هذه المشكلة عن تحويلات غير مقصودة تُطبق على skb بواسطة طبقة HSR عند معالجة إطار HSR تالف يحتوي على علامة غير مكتملة. يستخدم برنامج إعادة إنتاج الخلل AF PACKET، ولكن من المحتمل أن يتم تشغيل الثغرة الأمنية بواسطة إطارات يتم استلامها عبر الشبكة.

The Linux kernel had a vulnerability that has been resolved. Netlink supports iterative dumping of data, providing the following operations: `start`, `dump`, and `done`. The process is asynchronous, and repeated calls to `dump` are triggered in response to `recvmsg()` on the socket. This gives the user full control over the dump, but also means that the user can close the socket without getting to the end of the dump. To ensure that `start` is always paired with `done`, the kernel checks if there is an ongoing dump before freeing the socket and calls `done` if necessary. However, the use of a workqueue to defer the call does not work correctly, as it defers the release of a reference on the socket instead of the cleanup. Since only the user can interact with dumps, the kernel can clean up when the socket is closed, and close always happens in process context.

A vulnerability in the Linux kernel has been resolved. The issue is related to the removal of a proc entry when a device is unregistered. Syzkaller reported a warning in the `bcm connect()` function. The vulnerability occurs when a BCM socket is connected, allocating a proc entry, and then the bound device is removed, resetting the `bcm sk(sk)->bound` value to 0. A subsequent connect attempt tries to allocate a proc entry with the same name, leading to a leak of the original proc entry. The proc entry is only available for connected sockets, so it should be cleaned up when the bound netdev is unregistered.

The issue arises when calling ioctl TIOCSSERIAL with an invalid baud base, resulting in uartclk being zero. This leads to a divide by zero error in uart get divisor(). To prevent this, the check for uartclk being zero in uart set info() needs to be done before other settings are made. The vulnerability can be exploited through the `ioctl` function, specifically the `TIOCSSERIAL` command, which can cause a divide by zero error in the `uart get divisor()` function.

The vulnerability is related to the Linux kernel's UDP implementation, specifically in the `udp lib get port()` function. The issue arises from the fact that the `SOCK RCU FREE` flag is set too early in the `udp v[46] early demux()` and `sk lookup()` functions, potentially leading to a small race window. This could allow an attacker to exploit the vulnerability, although the exact impact is not specified. The vulnerability was identified by syzkaller, a tool for finding bugs in the Linux kernel.

Name of the Vulnerable Software and Affected Versions: Linux kernel versions prior to 6.6.37 Description: The issue is related to the Linux kernel's handling of errors in the `rpc proc register()` function, which is called during the initialization of the NFS (Network File System) subsystem. When this function fails, the error is ignored, and the `nfs net init()` function may still succeed, leading to a potential issue when the `nfs net exit()` function is called during the destruction of network namespaces. This can cause a warning to be triggered due to an attempt to remove a non-existing proc directory entry. The problem has been made more visible by a recent commit that converted the procfs to per-netns. Recommendations: To resolve this issue, update the Linux kernel to version 6.6.37 or later. This update includes the necessary fix to properly handle the error of `rpc proc register()` in `nfs net init()`.

A vulnerability in the Linux kernel has been resolved, specifically a shift-out-of-bounds issue in the `dctcp update alpha()` function. The vulnerability occurs when the `dctcp shift g` module parameter is set to a value that is too large, causing a shift exponent that is too large for a 32-bit type. This issue was triggered by the syzkaller tool, which started fuzzing module parameters. The vulnerability can be exploited by setting the `dctcp shift g` parameter to a value of 100, which is too large for the 32-bit type. To fix this issue, the maximum value of `dctcp shift g` has been limited using the `param set uint minmax()` function.

A vulnerability has been resolved in the Linux kernel, specifically in the ipv4 module. The issue is related to an uninit-value access in the ` ip make skb()` function. This function tests the `HDRINCL` flag to determine if the socket buffer (`skb`) has an ICMP header (`icmphdr`). However, the `HDRINCL` flag can cause a race condition. If the `setsockopt(2)` function is called with `IP HDRINCL` while ` ip make skb()` is running, it can change the `HDRINCL` flag, leading to the function accessing `icmphdr` in the `skb` even if it is not included. This issue was reported by KMSAN. To fix this, the code now checks `FLOWI FLAG KNOWN NH` on `fl4->flowi4 flags` instead of testing `HDRINCL` on the socket. Additionally, `fl4->fl4 icmp type` and `fl4->fl4 icmp code` are not initialized and are part of a union in `struct flowi4`. These are implicitly initialized by `flowi4 init output()`, but the code should not rely on a specific union layout. Therefore, these variables are now explicitly initialized in `raw sendmsg()`.

Name of the Vulnerable Software and Affected Versions: Linux kernel (affected versions not specified) Description: The issue is related to a use-after-free vulnerability in the `reqsk timer handler()` function. This vulnerability can be triggered when a `reqsk` timer is fired and a use-after-free (UAF) occurs while freeing the `reqsk`. The scenario involves creating a per netns TCP listener using `unshare(CLONE NEWNET)` and `rds tcp listen init()`, then connecting to it using `syz-executor` and creating a `reqsk`. When `syz-executor` exits immediately, the netns is dismantled, and the `reqsk` timer is fired, leading to the UAF. The `reqsk` assumes that the listener guarantees netns safety until all `reqsk` timers are expired by holding the listener's refcount. However, this was not the case for kernel sockets. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Name of the Vulnerable Software and Affected Versions: Linux kernel versions prior to 6.1.74 Description: The vulnerability is related to a buffer overflow in the `arp req get()` function in the Linux kernel. When the `ioctl(SIOCGARP)` command is issued, the function looks up a neighbor entry and copies the `neigh->ha` value to the `struct arpreq.arp ha.sa data` buffer. However, the `arp ha` buffer is only 14 bytes long, which can lead to a buffer overflow when the `dev->addr len` is greater than 22. This can cause the `arp netmask` value to be overwritten, potentially allowing an attacker to gain elevated privileges. The vulnerability can be exploited by issuing the `ioctl(SIOCGARP)` command with a specially crafted `struct arpreq` buffer, which can lead to a buffer overflow and potentially allow an attacker to execute arbitrary code. Recommendations: To resolve the issue, update the Linux kernel to a version that includes the fix for the vulnerability. Specifically, update to a version that includes the commit `b5f0de6df6dc` ("net: dev: Convert sa data to flexible array in struct sockaddr") or later. As a temporary workaround, consider disabling the `arp req get()` function until a patch is available. However, this may have unintended consequences and should be carefully evaluated before implementation. Note: The provided information does not include details about the existence of a patch or a fixed version for all affected systems. Therefore, the recommendation to update to a newer version is based on the assumption that such a version exists and is available for the specific system in question.

The vulnerability is related to a resource management issue in the `dg dispatch as host()` function of the VMCI component in the Linux kernel. The issue arises from a `memcpy()` operation that performs a field-spanning write, which can lead to a runtime warning. This warning is seen when fuzzing with Syzkaller, a tool used for finding bugs in the Linux kernel. The problem occurs because the `memcpy()` function copies data across multiple members of a structure, which is not allowed under `FORTIFY SOURCE`. The vulnerable code is located in the `vmci datagram.c` file at line 237.

A double-free flaw was found in the Linux kernel’s TUN/TAP device driver functionality. This issue occurs when a user registers the device and the register netdevice function fails, specifically with the NETDEV REGISTER notifier. The flaw allows a local user to crash or potentially escalate their privileges on the system.

The vulnerability is related to a division error in the netem enqueue function, which occurs when the skb->len and skb->data len are both zero. This error is caused by a lack of check on the len parameter, allowing an empty skb to be processed. The issue is resolved by adding a check on the len parameter to prevent empty skbs.