Filipe Manana

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: Foi corrigida uma vulnerabilidade no kernel do Linux relacionada ao sistema de arquivos btrfs. O problema ocorre ao atualizar a ação de uma referência existente para BTRFS DROP DELAYED REF, o que exclui a referência de sua lista usando `list del()`. Isso deixa o membro `add list` da referência sem ser reinicializado, causando uma falha quando `drop delayed ref()` é chamado posteriormente. A falha ocorre porque `list empty()` retorna falso devido à lista não ter sido reinicializada após `list del()`, levando a um acesso inválido à lista. Isso resulta em um splat se `CONFIG LIST HARDENED` e `CONFIG DEBUG LIST` estiverem definidos, ou em desreferências inválidas de ponteiros venenosos caso contrário. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.58 Descrição: O problema está relacionado a uma condição de corrida no sistema de arquivos btrfs, especificamente na função `find desired extent()`. Quando várias threads acessam o mesmo descritor de arquivo simultaneamente, pode ocorrer um vazamento de memória devido à alocação de estruturas privadas por cada thread. Isso pode levar a um problema de uso após liberação (use-after-free), já que uma thread pode liberar a estrutura enquanto outra ainda a está utilizando. O problema decorre do uso compartilhado do mesmo registro de estado em cache na estrutura privada, o que pode resultar em resultados incorretos. O problema é corrigido protegendo a atribuição e a verificação privadas de um arquivo enquanto se mantém o spinlock do inode e se rastreia a tarefa que alocou a estrutura privada. Recomendações: Para versões do kernel Linux anteriores à 6.6.58, atualize para a versão 6.6.58 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso simultâneo ao mesmo descritor de arquivo para minimizar o risco de exploração. Além disso, evite usar a chamada de sistema `lseek` com os sinalizadores `SEEK DATA` ou `SEEK HOLE` no mesmo descritor de arquivo a partir de múltiplas threads.

Nome do Software Vulnerável e Versões Afetadas: Versões do kernel do Linux anteriores à 6.6.74 Descrição: Uma vulnerabilidade foi resolvida no kernel do Linux, especificamente no módulo btrfs. O problema está relacionado a um possível bloqueio recursivo detectado ao executar o fstests btrfs/011 com MKFS OPTIONS="-O rst". Isso poderia levar a um cenário de deadlock. A vulnerabilidade é causada pelo módulo btrfs tentando adquirir um lock que já está mantido pela tarefa. Detalhes técnicos sobre a exploração incluem a função `btrfs map block()` e o lock `dev replace.rwsem`. Recomendações: Para resolver o problema, atualize o kernel do Linux para a versão 6.6.74 ou posterior. Como solução temporária, considere desativar a função `btrfs dev replace by ioctl()` até que um patch esteja disponível. Restrinja o acesso à função `btrfs map block()` para minimizar o risco de exploração. Evite usar o lock `dev replace.rwsem` nos endpoints da API afetados até que o problema seja resolvido.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” na função btrfs load zone info(), que pode ser desencadeada por uma condição de corrida com uma operação de substituição de dispositivo. Isso ocorre porque a função extrai um dispositivo do mapa de blocos para uma variável local e, em seguida, utiliza o dispositivo sem estar sob a proteção do rwsem de substituição de dispositivo. Se uma operação de substituição de dispositivo ocorrer enquanto o dispositivo está sendo extraído e o dispositivo for a fonte da operação de substituição, um uso após liberação pode ser acionado se a operação de substituição for concluída e liberar o dispositivo antes que a função termine de utilizá-lo. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

O problema está relacionado a uma condição de corrida no sistema de arquivos btrfs ao detectar intervalos de desalocação durante a função fiemap. Isso pode resultar na omissão de intervalos de desalocação para regiões de arquivo que atualmente são lacunas, fazendo com que o chamador da função fiemap não tenha conhecimento da existência de dados em algumas regiões do arquivo. Isso pode ser grave para casos de uso como o programa cp nas versões do coreutils anteriores à 9.0, que usavam o fiemap para detectar lacunas e dados no arquivo de origem. Se o cp fosse usado com um arquivo de origem que tivesse delalloc em uma lacuna, o arquivo de destino poderia acabar sem esses dados, resultando em um problema de perda de dados. Os detalhes técnicos sobre a exploração incluem: - A função `fiemap` é chamada sem o sinalizador `FIEMAP FLAG SYNC` para um arquivo com delalloc em um intervalo que atualmente é um buraco. - A função `fiemap` bloqueia o inode no modo compartilhado e percorre a árvore de subvolumes do inode em busca de itens de extensão de arquivo sem ter todo o intervalo alvo do fiemap bloqueado na árvore de E/S do inode. - A função `btrfs find delalloc in range()` é usada para procurar delalloc verificando o bit `EXTENT DELALLOC` na árvore de E/S para o intervalo e extensões ordenadas.

Um deadlock pode ocorrer no kernel Linux quando uma operação de desmontagem é iniciada enquanto uma tarefa de recuperação de grupo de blocos assíncrona está em execução e realocando um grupo de blocos de dados. Isso ocorre devido a uma combinação de fatores, incluindo a presença de uma tarefa de recuperação de espaço de metadados ou dados assíncrona e o parking da kthread cleaner durante a operação close ctree(). O problema surge quando a tarefa de recuperação de espaço assíncrona executa todos os delayed iputs existentes e a tarefa de recuperação de grupo de blocos cria um delayed iput, levando a um deadlock.

O problema está relacionado a uma vulnerabilidade de uso após liberação (use-after-free) no sistema de arquivos btrfs do kernel Linux. Especificamente, ela ocorre ao criar um snapshot e a função `btrfs commit transaction()` falhar, levando a uma situação em que uma estrutura de snapshot pendente é liberada, mas ainda acessível, resultando em um cenário de uso após liberação (user-after-free). Isso pode acontecer na seguinte sequência: 1. Um snapshot pendente é alocado e adicionado à lista de snapshots pendentes da transação. 2. `btrfs commit transaction()` é chamada e, se falhar, a estrutura do snapshot pendente é liberada. 3. Outra tarefa confirma a transação sem erros, acessando a estrutura do snapshot pendente já liberada, causando assim um “user-after-free”. A vulnerabilidade poderia ser detectada pelo smatch, que gerava um aviso sobre o snapshot pendente não ter sido removido da lista. Para corrigir isso, o ioctl de criação de snapshot não deve adicionar diretamente o snapshot pendente à lista da transação. Em vez disso, ele deve adicionar o snapshot pendente ao identificador da transação e, então, em `btrfs commit transaction()`, adicionar o snapshot à lista somente quando for garantido que qualquer erro retornado após esse ponto resultará no abortamento da transação.

A vulnerabilidade está relacionada ao sistema de arquivos btrfs no kernel do Linux. Quando um inode é movido de um diretório para outro e tanto o inode quanto seu diretório pai anterior foram registrados anteriormente, o dentry do pai antigo não deveria existir após uma falha de energia se o registro estiver sincronizado. No entanto, há um cenário em que isso não funciona corretamente porque o antigo pai do arquivo/diretório que foi movido não é autoritário para um intervalo que inclui as chaves dir index e dir item do antigo dentry. Isso pode ser desencadeado por um layout específico de chaves e itens na árvore B-tree do fs/subvolume.

Existe uma condição de corrida entre uma tarefa que interrompe uma transação durante um commit, uma tarefa que executa um fsync e o kthread da transação, levando a um uso após liberação (use-after-free) da árvore raiz do log. Isso resulta em um rastreamento de pilha com erros como “BTRFS info (dispositivo dm-0): forced readonly” e “BTRFS: error (dispositivo dm-0) in cleanup transaction:1958: errno=-5 IO failure”. O problema ocorre quando duas tarefas têm um identificador de transação vinculado à mesma transação, e uma tarefa está realizando um fsync enquanto a outra tarefa chama btrfs commit transaction(), causando um erro antes que a transação seja confirmada.

The issue allows local users to gain privileges or cause a denial of service (use-after-free) by leveraging improper access to a certain error field in the ext4 journal stop function.