Aaron Esau

Um problema de double-free existe no módulo `net/rds` do kernel Linux. O problema ocorre quando uma operação de anclagem de página zerocopy falha na função `rds message zcopy from user()`, especificamente quando a `iov iter get pages2()` falha. Nesse cenário, embora as páginas ancladas sejam liberadas e o `rm->data.op mmp znotifier` seja limpo, o contador de gerenciamento de memória `op nents` não é resetado corretamente. Posteriormente, quando a `rds sendmsg()` chama a função `rds message purge()`, o loop de limpeza utiliza o valor não zero incorreto de `op nents` para liberar a memória que já foi liberada. Um invasor local poderia explorar isso para causar a falha do sistema (negação de serviço), elevar privilégios ou executar código não autorizado.

Uma vulnerabilidade de estouro de buffer baseada em pilha, sem necessidade de autenticação, na função `handle PORT` do arquivo `common.c`, pode ser explorada para causar uma falha no sistema e, potencialmente, levar à execução remota de código.

O problema decorre da implementação incorreta de um chroot jail na função `compose abspath` em common.c, levando a múltiplas vulnerabilidades de traversal de diretório não autenticadas em diferentes comandos FTP. Isso pode ser explorado para ler ou gravar em arquivos arbitrários no sistema de arquivos, vazar memória do processo ou potencialmente levar à execução remota de código.

A vulnerabilidade permite que um usuário não autenticado execute um ataque de traversal de diretório utilizando vários comandos FTP diferentes, possibilitando-lhe ler e gravar em locais arbitrários no sistema de arquivos. Isso se deve à ausência de um chroot jail adequadamente implementado na função `compose abspath()`.

O problema é causado por um estouro de buffer na função handle PORT, no arquivo ftpcmd.c. Isso ocorre quando um buffer de 16 bytes é preenchido com dados inseridos pelo usuário via sprintf(), utilizando a string de especificação de formato %d.%d.%d.%d. Embora o tamanho de 16 bytes seja suficiente para endereços IPv4 válidos, o especificador de formato %d permite mais de 3 dígitos, levando a um possível estouro.