Martin Kafai Lau

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.61 Descrição: Foi relatada uma vulnerabilidade do tipo “use-after-free” no gerenciamento do temporizador TCP do kernel Linux. O problema ocorre quando o `req->sk` é fechado antes do tempo de expiração do temporizador, que é de 63 segundos por padrão. Isso pode acontecer em um cenário em que `inet csk complete hashdance()` chama `inet csk reqsk queue drop()`, mas `del timer sync()` não é executado, permitindo que o temporizador reqsk continue em execução e envie múltiplos SYN+ACKs até expirar. A vulnerabilidade pode ser explorada anexando um programa BPF a `trace tcp retransmit synack`, que passa o `req->sk` para o auxiliar do kernel `bpf sk storage get tracing`. Recomendações: Para resolver o problema, atualize o kernel do Linux para a versão 6.6.61 ou posterior. Como solução temporária, considere desativar a função `bpf sk storage get tracing` até que um patch esteja disponível. Restrinja o acesso à função vulnerável `reqsk queue unlink` para minimizar o risco de exploração. Evite usar a função `timer pending()` em `reqsk queue unlink()` até que o problema seja resolvido.

O problema está relacionado ao kernel do Linux, onde as operações BPF relacionadas a lwt seg6 podem ser invocadas via `bpf test run()` sem entrar primeiro em `input action end bpf()`. Isso ocorre porque a variável por CPU `seg6 bpf srh states::srh` nunca é atribuída no caso de autoteste, mas cada função BPF espera por ela. O problema provavelmente não funcionava desde que foi introduzido no commit 04d4b274e2a (“ipv6: sr: Adicionar ação seg6local End.BPF”).

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: O problema está relacionado a uma condição de corrida entre `bpf timer cancel and free` e `bpf timer cancel` no kernel do Linux, o que pode levar a um uso após liberação (UAF) em `timer->timer`. Isso ocorre quando `bpf timer cancel` e `bpf timer cancel and free` são chamados simultaneamente, fazendo com que `timer->timer` seja acessado após ter sido liberado. O patch resolve esse problema liberando o `timer->timer` após um período de carência rcu em `bpf timer cancel and free` e adicionando um `rcu read lock` em `bpf timer cancel` para evitar a condição de corrida. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

The issue allows local users to gain privileges or cause a denial of service (use-after-free) by leveraging improper access to a certain error field in the ext4 journal stop function.