Hazley Samsudin

O utilitário `xfs admin` não valida adequadamente os parâmetros fornecidos pelo usuário, permitindo a injeção de comandos do sistema operacional. Um invasor local pode explorar isso fornecendo argumentos de entrada manipulados, o que pode resultar na execução de comandos arbitrários e escalonamento de privilégios locais, especialmente quando a ferramenta é executada com privilégios de root via delegação do sudo ou ferramentas de provisionamento.

Existe uma condição de corrida no driver sound(4) ao redimensionar o buffer de um canal de áudio. O driver verifica se o buffer não está mapeado na memória e libera o bloqueio do canal para alocar um novo buffer. Se uma chamada `mmap(2)` ocorrer em outra thread durante este intervalo, o processo de redimensionamento pode liberar o buffer enquanto ele ainda está mapeado. Isso pode permitir que um usuário local não privilegiado com acesso ao dispositivo de som desencadeie uma condição de use-after-free no kernel, o que pode levar à escalação de privilégios.

Uma alteração na estrutura do kernel para credenciais de usuário fez com que a função `group is primary()` não fosse atualizada corretamente. Esta função é utilizada pelo `mac do` para determinar o ID do grupo primário de uma credencial após a aplicação de uma regra de transição, quando o alvo da regra não especifica explicitamente um grupo. Consequentemente, certas regras do `mac do` podem ser abusadas para definir incorretamente o ID do grupo primário como o valor armazenado no primeiro elemento da matriz de grupos suplementares da credencial original. Se a lista de grupos suplementares estiver vazia, o ID do grupo primário pode ser definido como 0 (grupo wheel), permitindo potencialmente a escalada de privilégios para root, dependendo da configuração do sistema. Para disparar isso, a regra deve se aplicar ao chamador e o processo deve, normalmente, remover todos os grupos suplementares usando a chamada de sistema `setgroups(2)`.

Um problema de use-after-free existe na implementação de um ioctl, que ocorre quando o sistema tenta adquirir bloqueios em todos os canais de um grupo de sincronização. Se o bloqueio de um canal for interrompido, o sistema libera o bloqueio da lista do grupo de sincronização e entra em estado de espera; no entanto, a implementação não trata casos em que a estrutura do grupo de sincronização é liberada antes que o sistema desperte. Em sistemas com múltiplos dispositivos de áudio, um usuário local não privilegiado pode explorar isso para elevar privilégios.

Um problema de use-after-free ocorre no kernel durante a cópia de knotes durante uma operação de fork. Um knote com um filtro baseado em timer pode disparar e ser enfileirado na lista ativa do kqueue antes que o processo de cópia seja concluído. Como a rotina de cópia não prevê isso e não mantém as travas (locks) apropriadas ao ler o estado do knote, o novo knote pode ser enfileirado uma segunda vez, resultando na corrupção da lista ativa e condições de corrida (race conditions). Um usuário local não privilegiado pode explorar isso para potencialmente obter escalonamento de privilégios.

Um usuário local não privilegiado pode obter memória não inicializada da pilha do kernel, potencialmente expondo dados sensíveis do kernel. Isso ocorre ao criar um timer POSIX com CLOCK TAI e chamar a função `timer settime(2)`. O problema decorre do fato de o kernel chamar `realtimer gettime()` para recuperar o valor anterior do timer; se nenhum deslocamento TAI estiver configurado, a função falha, mas como o retorno de erro não é verificado, o buffer de saída não inicializado é copiado para o espaço do usuário.

Ocorre um estouro de inteiro (integer overflow) na função `dsp mmap single()` ao validar mapeamentos solicitados através da soma de um deslocamento (offset) e comprimento fornecidos pelo usuário em relação ao tamanho do buffer. Um deslocamento e comprimento elevados podem causar um wrap around, ignorando a verificação. Subsequentemente, o offset é reduzido de 64 para 32 bits durante a conversão para um endereço de buffer, criando um mapeamento que se estende além do buffer de áudio para a memória do kernel não relacionada. Como os nós do dispositivo `/dev/dsp` são acessíveis a todos por padrão, um usuário local sem privilégios pode ler e gravar na memória do kernel. Isso pode levar à escalada de privilégios, controle total do sistema ou a uma Negação de Serviço (DoS) através do travamento do kernel.

Uma injeção de string de formato existe no manipulador do painel de Resultados de Busca. Isso ocorre quando a aplicação processa um arquivo de pacote de idioma `nativeLang.xml` maliciosamente elaborado. Um invasor pode distribuir um pacote de idioma contaminado através de canais da comunidade; quando um usuário realiza operações de busca, a aplicação aciona a interpretação da string de formato. Isso pode levar a violações de acesso, negação de serviço e o vazamento potencial de conteúdos da pilha ou de registradores (divulgação de informações).

Um problema de injeção de string existe na função de busca FindInFiles devido a falhas no mecanismo de processamento de strings de formatação. A exploração bem-sucedida pode permitir que um invasor obtenha informações sensíveis de endereços de memória ou cause a falha do aplicativo (negação de serviço) por meio de um arquivo especialmente elaborado. Este risco é particularmente relevante para usuários que utilizam arquivos de localização `nativeLang.xml` personalizados.