Alexei Starovoitov

Uma vulnerabilidade no kernel Linux foi resolvida. O problema está relacionado ao uso de `kmalloc(GFP ATOMIC)` em contexto não preemptivo no PREEMPT RT, o que não é seguro. O patch força o uso de `bpf mem alloc` em `bpf local storage` quando `CONFIG PREEMPT RT` está habilitado. O problema existe desde a introdução do `bpf local storage` há cerca de 5 anos. O patch é direcionado ao `bpf-next` e usa `bpf mem alloc` para resolver o problema.

O problema está relacionado a uma vulnerabilidade do tipo use-after-free (UAF) nos anexos uprobe do BPF do kernel Linux. Os uprobes utilizam `bpf prog run array uprobe()` sob proteção tasks-trace-RCU, mas é possível anexar um programa BPF não suspendível a um uprobe. Programas BPF não suspendíveis são liberados via RCU normal, o que pode levar a um UAF do `bpf prog`, pois um período de carência do RCU normal não implica um período de carência do tasks-trace-RCU. A vulnerabilidade pode ser explorada para afetar a confidencialidade, integridade e disponibilidade de informações protegidas.

O problema é causado pelo BPF do kernel Linux, que permite o acesso a proto ops no nível mptcp a partir de um escopo de subfluxo TCP. Isso pode levar a uma negação de serviço. A causa principal do problema é que o BPF permite o acesso a proto ops no nível mptcp a partir de um escopo de subfluxo TCP.

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: O problema está relacionado a uma condição de corrida entre `bpf timer cancel and free` e `bpf timer cancel` no kernel do Linux, o que pode levar a um uso após liberação (UAF) em `timer->timer`. Isso ocorre quando `bpf timer cancel` e `bpf timer cancel and free` são chamados simultaneamente, fazendo com que `timer->timer` seja acessado após ter sido liberado. O patch resolve esse problema liberando o `timer->timer` após um período de carência rcu em `bpf timer cancel and free` e adicionando um `rcu read lock` em `bpf timer cancel` para evitar a condição de corrida. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

A panic can occur when a vsyscall is made while LBR sampling is active. If the vsyscall is interrupted for perf sampling, a specific call sequence can occur, leading to an unhandled page fault. The issue arises from the access to an address in the vsyscall region. To fix the bug, filtering for vsyscalls can be done when determining the branch type, returning a "none" branch if a kernel address is found to lie in the vsyscall region. The vulnerable function names include ` insn get emulate prefix()`, `insn get emulate prefix()`, `insn get prefixes()`, `insn get opcode()`, `decode branch type()`, `get branch type()`, `intel pmu lbr filter()`, `intel pmu handle irq()`, and `perf event nmi handler()`. A macro `peek nbyte next(insn byte t, insn, i)` is also called, leading to a dereference of `(insn)->next byte`.

The issue is related to the Linux kernel's handling of unreachable code in the `kernel/bpf/verifier.c` component. This behavior is also considered an improper branch-pruning logic issue. It could be used by local users to cause a denial of service. The estimated number of potentially affected devices is not specified.