Zhihao Cheng

تم تحديد مشكلة تعطل (deadlock) في نواة لينكس، وتحديدًا في نظام الملفات ubifs. يحدث هذا عند تنفيذ عمليات متنافسة لإعادة تسمية whiteout وكتابة inode، مما يتسبب في توقف المهام. ينشأ المشكل من آلية القفل التي تستخدمها الدالتان `ubifs rename` و`ubifs write inode`، مما قد يؤدي إلى حالة تعطل متبادل. يتم تشغيل المشكل من خلال استدعاء النظام `SYS renameat2` عند استخدامه مع العلامة `RENAME WHITEOUT`، ويمكن إعادة إنتاجه عن طريق استهلاك المساحة المتاحة قبل أن يقوم النواة بتخصيص الميزانية لعملية whiteout.

تم تحديد مشكلة ”التحرير المزدوج“ (double-free) في نواة لينكس، وتحديدًا في الوحدة النمطية `ubifs`. تحدث المشكلة عندما تفشل العملية `rename whiteout` بسبب مشكلة في تخصيص المساحة، مما يؤدي إلى تحرير `whiteout ui->data` مرتين. وقد تم تأكيد ذلك من خلال تقارير KASAN، التي تشير إلى وجود خطأ في التحرير المزدوج أو التحرير غير الصحيح في `ubifs free inode`. تظهر المشكلة في عملية `rename whiteout`، حيث يتم تخصيص `whiteout ui->data` ثم تحريره، ولكنه يتم تحريره مرة أخرى في `ubifs free inode`. لم يتم تقديم العدد التقديري للأجهزة التي قد تكون متأثرة.

The issue is related to a use-after-free vulnerability in the btrfs file system. It can be triggered when mounting btrfs from two images with the same fsid and different dev uuids in a specific order. The vulnerability affects the `device->bdev file` variable in the ` btrfs free extra devids()` function. This can lead to unauthorized access and modification of sensitive information. The exploitation of this vulnerability may allow an attacker to impact the confidentiality, integrity, and availability of protected information.

Name of the Vulnerable Software and Affected Versions: Linux kernel versions prior to 6.6.58 Description: A vulnerability in the Linux kernel related to ext4 file systems has been fixed. The issue arises in the dax iomap rw() function, which maps written blocks and copies user data to blocks. If the process is killed by the user, the copied data will be returned and added to the inode size, potentially exceeding the inode size and causing fsck to fail. The problem is fixed by truncating extents if the written length is smaller than expected. Recommendations: For Linux kernel versions prior to 6.6.58, update to version 6.6.58 or later to resolve the issue. As a temporary workaround, consider disabling the dax iomap rw() function until a patch is available. Restrict access to the ext4 file system to minimize the risk of exploitation. Avoid using the `iter->pos` and `iocb->ki pos` variables in the affected code until the issue is resolved.

The vulnerability is related to the `dispose list` function in the Linux kernel's vfs component. It is caused by incorrect resource cleanup or release, which can lead to a deadlock when the inode reclaiming process tries to destroy inodes marked with the `I FREEING` flag. This issue can occur when certain filesystems, such as ext4 with the `ea inode` feature or ubifs with xattr, perform inode lookups in the inode evicting callback function under the inode lru traversing context. The vulnerability can result in a denial-of-service (DoS) condition. Technical details about exploitation include: - **API Endpoints:** None mentioned. - **Vulnerable Parameters or Variables:** `i ea`, `i reg`, `ixa`, `ib`, `ia`. - **Function Names:** `prune icache sb`, `find inode fast`, `ext4 evict inode`, `ubifs jnl write inode`, `inode lru isolate`, ` iget`, `iget locked`, `ext4 iget`, `ubifs iget`.

The issue is related to the ubifs component of the Linux kernel, where page cache reads are lockless. This allows a simultaneous reader to see old data if the freshly allocated page is set uptodate before the new data is copied into it. The vulnerability can be exploited to cause a denial of service. The `SetPageUptodate` call has been moved to `ubifs write end()`, after the new data has been copied into the page, to resolve the issue. The functions `write begin slow()`, `ubifs write begin()`, and `ubifs write end()` in `fs/ubifs/file.c` are involved in the vulnerability.

توجد مشكلة «استخدام بعد التحرير» (use-after-free) في نواة لينكس، وتحديدًا في الدالة `ubi create volume()`. تظهر المشكلة عندما يفشل إنشاء وحدة التخزين (volume) وتتم محاولة الوصول إلى `eba tbl` بعد تحريرها. ويحدث ذلك بسبب التحرير الزائد لـ `eba tbl`. ترتبط المشكلة بالدالتين `ubi eba replace table()` و`ubi eba destroy table()`، حيث يتم تحرير `tbl->entries` بعد تدمير `eba tbl`، مما يؤدي إلى حالة «استخدام بعد التحرير».

تم تحديد خطأ في نظام الملفات UBIFS (نظام ملفات الصور غير المصنفة) في نواة لينكس، والذي قد يتسبب في مشكلة تتعلق بترحيل الصفحات. تنشأ المشكلة عندما يتم تعيين العلامة `PG private` على صفحة ما دون زيادة عدد المراجع. قد يؤدي ذلك إلى حالة تعتقد فيها عملية ترحيل الصفحات أن الصفحة غير مستخدمة من قبل أي عمليات أخرى وتحاول ترحيلها، مما يؤدي إلى وصول متزامن إلى عدد مرات الإشارة إلى الصفحة. وقد يتسبب هذا في حدوث خطأ في النواة، مما يؤدي إلى تعطل النظام.

The issue is an use-after-free problem in the Linux kernel's blktrace functionality. This problem is triggered by a specific process involving the removal of a block trace by sysfs, followed by the access of the removed trace. The vulnerability can be reproduced by using the ioctl function on /dev/sda and /dev/sdb with specific parameters, and then removing the block trace while it is still being accessed. The vulnerability results in a kernel NULL pointer dereference. Technical details about exploitation include: - **API Endpoints:** The ioctl function is used with the following endpoints: /dev/sda and /dev/sdb. - **Vulnerable Parameters or Variables:** The `buf size` variable in the `blk user trace setup` function is set to 127. - **Function Names:** The vulnerability involves the `blk trace remove queue`, `synchronize rcu`, `blk trace free`, `relay close`, `rcu read lock`, ` blk add trace`, `trace note tsk`, `relay close buf`, `relay destroy buf`, `kfree`, `trace note`, and `relay reserve` functions.

The issue arises from concurrent `xattr {set|get}` and `listxattr` operations in UBIFS, potentially leading to problems such as assertion failure, memory corruption, and stale xattr values. This is resolved by introducing a new rw-lock in `@ubifs inode` to serialize write operations on xattr, allowing concurrent read operations to remain effective.