Tpambor

يحتوي برنامج تشغيل القرص الخاص بطبقة الترجمة السريعة Dhara الموجود في `drivers/disk/ftl dhara.c` على ثغرة أمنية تتمثل في أن دوال الاستدعاء `dhara nand ` تقوم بكتابة رموز الأخطاء دون قيد أو شرط إلى مؤشر `err` من نوع `dhara error t` الذي يوفره المستدعي. أثناء البحث الثنائي لاستئناف السجل (journal-resume)، تستدعي الدالة `find last checkblock()` الدالة `find checkblock()`، التي تمرر مؤشرًا NULL إلى الدالة `dhara nand read()`. تحدث هذه العملية أثناء تنفيذ الدالتين `disk ftl access init()` و`dhara map resume()` عند تركيب قرص FTL أو تهيئته. في حالة حدوث خطأ في قراءة ذاكرة الفلاش — مثل خطأ ECC (رمز تصحيح الأخطاء) غير قابل للتصحيح، أو كتلة تالفة، أو خطأ في وحدة التحكم — في صفحة نقطة فحص تم فحصها، يقوم برنامج التشغيل بإلغاء مرجعية مؤشر NULL، مما يؤدي إلى حدوث خطأ في النواة ورفض الخدمة. ويمكن أن يحدث هذا بسبب تآكل الوسائط، أو الأعطال المستحثة، أو صورة تالفة على ذاكرة الفلاش.

توجد ثغرة «قراءة بعد التحرير» (use-after-free) في تطبيق بروتوكول IGMP لـ IPv4. تقوم الدالة `igmp send()` الموجودة في `subsys/net/ip/igmp.c` بقراءة واجهة الشبكة من حزمة باستخدام `net pkt iface(pkt)` بعد تمرير الحزمة إلى `net send data()`. في بعض التكوينات، قد يتم تحرير آخر مرجع للحزمة بواسطة برنامج تشغيل L2 أو معالجة الإرسال (TX) في مكدس الشبكة، مما يعيد كتلة الذاكرة إلى قائمة الذاكرة الحرة قبل حدوث عملية القراءة. إذا تم تمكين `CONFIG NET STATISTICS PER INTERFACE`، يتم إلغاء مرجعية المؤشر المعلق الناتج من أجل كتابة عداد الإحصائيات. يمكن تشغيل هذا المسار دون مصادقة عبر استعلامات عضوية IGMP لـ IPv4 الواردة الموجهة إلى 224.0.0.1 أو من خلال عمليات الانضمام أو الخروج أو إعادة الانضمام إلى البث المتعدد المحلي. قد يؤدي هذا إلى سلوك غير محدد، أو أعطال متفرقة، أو رفض الخدمة. يوجد نمط مشابه في مسار MLD لـ IPv6 داخل الدالة `mld send()` في الملف `subsys/net/ip/ipv6 mld.c`.

توجد مشكلة «استخدام بعد التحرير» (use-after-free) في الدالة `mld send()` ضمن تطبيق اكتشاف مستمع البث المتعدد IPv6 (MLD). تحاول الدالة قراءة واجهة الحزمة باستخدام `net pkt iface(pkt)` بعد أن تعود الدالة `net send data(pkt)` بنجاح. وفقًا لعقد ملكية مكدس الشبكة، تنقل عملية الإرسال الناجحة ملكية `net pkt`، مما يؤدي إلى قيام برنامج تشغيل L2 بتحريرها. وبالتالي، يؤدي الوصول إلى الحزمة بعد هذا الاستدعاء إلى قراءة كائن تم تحريره. وعند تمكين `CONFIG NET STATISTICS PER INTERFACE`، يتم إلغاء مرجعية مؤشر الواجهة المستعاد لتحديث الإحصائيات. وإذا تمت إعادة تخصيص الذاكرة في الوقت نفسه، فقد يؤدي ذلك إلى إلغاء مرجعية مؤشر NULL مما يتسبب في تعطل النظام أو كتابة طائشة تؤدي إلى تلف الذاكرة. يمكن تشغيل هذه الثغرة عن بُعد دون مصادقة على الوصلة المحلية عن طريق إرسال استعلام عام MLDv2 صالح، مما يدفع الدالة `handle mld query()` إلى استدعاء `send mld report()` ثم `mld send()`، مما قد يؤدي إلى رفض الخدمة.

توجد مشكلة «استخدام بعد التحرير» (use-after-free) في مكدس IPv4 الأصلي داخل الدالة `icmpv4 handle echo request()` الموجودة في الملف `subsys/net/ip/icmpv4.c`. تقوم الدالة بإنشاء حزمة رد الصدى (echo-reply) وتمريرها إلى `net try send data()`، التي تنقل ملكية الحزمة إلى مسار الإرسال. يمكن لهذه العملية تحرير ذاكرة الحزمة وإعادتها إلى slab الخاص بها عبر `net pkt unref()` و`k mem slab free()` قبل أن تستدعي الدالة `net stats update icmp sent()` باستخدام `net pkt iface(reply)`. ونتيجة لذلك، يقرأ النظام المتغير `iface` من ذاكرة تم تحريرها أو إعادة تخصيصها. وعندما يتم تمكين `CONFIG NET STATISTICS PER INTERFACE`، قد يؤدي ذلك إلى إجراء عملية كتابة عبر مؤشر قديم. يمكن استغلال هذا الخلل دون مصادقة من قبل أي مضيف بعيد يرسل طلب ping، ويتم تقييده بواسطة `CONFIG NET STATISTICS ICMP`. تشمل الآثار المحتملة تلف إحصائيات الواجهة أو تعطل يسبب رفض الخدمة (DoS) قابل للتشغيل عن بُعد بسبب تضارب في التوقيت.