Alexandra Winter

O problema está relacionado a um vazamento de memória no kernel do Linux, especificamente no componente s390/iucv. Quando o sinalizador MSG PEEK é passado para `skb recv datagram()`, ele incrementa a contagem de referências de `skb->users`, mas `iucv sock recvmsg()` não decrementa a contagem de referências ao sair. Isso resulta em um vazamento de memória em `skb queue purge()` e um WARN ON em `iucv sock destruct()` durante o fechamento do soquete. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado. Os detalhes técnicos sobre a exploração incluem: - O sinalizador `MSG PEEK` é usado na função `skb recv datagram()`. - A contagem de referências `skb->users` é incrementada quando o sinalizador `MSG PEEK` é passado. - A função `iucv sock recvmsg()` não decrementa a contagem de referências `skb->users` ao sair. - O vazamento de memória ocorre em `skb queue purge()`. - Um WARN ON é acionado em `iucv sock destruct()` durante o fechamento do soquete.

A vulnerabilidade está relacionada a um problema de uso após liberação (use-after-free) na função `iucv sock close()`. A função `iucv sever path()` é chamada tanto do contexto do processo quanto do contexto do bh, e `iucv->path` é usado como um indicador de se alguém mais está se encarregando de encerrar o caminho. Isso precisa ser feito com comparação e troca atômicas para evitar uma pequena janela em que `iucv sock close()` tente operar com um caminho que já tenha sido cortado e liberado. O problema pode levar a um kernel panic e, potencialmente, permitir que um invasor comprometa a confidencialidade, integridade e disponibilidade de informações protegidas.

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.37 Descrição: A vulnerabilidade está relacionada ao componente s390/qeth do kernel Linux. Quando o atributo hsuid é definido pela primeira vez em um dispositivo IQD Layer3 enquanto a interface de rede correspondente já está ativa (UP), o kernel tenta executar um ponteiro de função napi que é NULL. Isso pode causar um kernel panic. Os detalhes técnicos sobre a exploração incluem: - As funções `napi.poll` são definidas durante `qeth open()`. - As funções `qeth set offline()`/`qeth set online()` não chamam mais `dev close()`/`dev open()` devido ao commit 1cfef80d4c2b (“s390/qeth: Não chamar dev close/dev open (DOWN/UP)”). - Se `qeth free qdio queues()` limpou `card->qdio.out qs[i].napi.poll` enquanto a interface de rede estava UP e a placa estava offline, elas não são definidas novamente. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

O problema está relacionado a um impasse durante uma recuperação malsucedida no componente s390/qeth do kernel do Linux. Um commit removeu a aquisição de `discipline mutex` dentro de `qeth do reset()`, corrigindo possíveis deadlocks. No entanto, uma rota de erro foi ignorada, que ainda adquire `discipline mutex` e, portanto, mantém o potencial de deadlock original. Deadlocks intermitentes foram observados quando um caminho de canal qeth é configurado como offline, causando uma corrida entre `qeth do reset` e `ccwgroup remove`. Para corrigir isso, `qeth set offline()` é chamado diretamente no caso de erro de `qeth do reset()`, e uma nova variante de `ccwgroup set offline()` é usada, sem adquirir `discipline mutex`.