Matthew Auld

Uma leitura de kernel fora de limites (out-of-bounds) pode ocorrer no componente `drm/xe` quando um usuário fornece um valor `pat index` inválido através do IOCTL `madvise`. Isso acontece porque a função `madvise args are sane()` chama a função `xe pat index get coh mode()` sem verificar se o `pat index` está dentro do intervalo válido do array `xe->pat.table`. Embora as versões de depuração incluam um aviso, os kernels de produção ainda realizam o acesso inseguro ao array.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” (UAF) na função `send recv()`, especificamente no módulo `drm/xe/ct` do kernel do Linux. Essa vulnerabilidade pode ser explorada para comprometer a confidencialidade, a integridade e a disponibilidade de informações protegidas. A vulnerabilidade surge devido à falta de sincronização adequada com o lado de conclusão, o que pode levar a uma barreira sair do escopo na pilha antes do tempo limite. Além disso, há cargas e armazenamentos dependentes que exigem ordenação correta, mas faltam as barreiras necessárias. A correção envolve obter o `ct->lock` após a espera para garantir a serialização adequada.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” no kernel do Linux, especificamente no módulo drm/xe. Essa vulnerabilidade pode ser explorada para comprometer a confidencialidade, a integridade e a disponibilidade de informações protegidas. A vulnerabilidade é causada pelo encerramento inadequado da instância do driver, levando a vários erros de uso após liberação de memória. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado.

Nome do software vulnerável e versões afetadas: Kernel do Linux (versões afetadas não especificadas) Descrição: O problema está relacionado à função `xe vm create ioctl()` no módulo `drivers/gpu/drm/xe/xe vm.c` do kernel do Linux, que está associado à reutilização de memória previamente liberada. Um invasor pode explorar essa vulnerabilidade adivinhando o próximo ID da VM antes que o ioctl seja concluído e, em seguida, chamando o ioctl de destruição da VM para acionar a reutilização da memória liberada, já que o ioctl de criação ainda está referenciando a mesma VM. A correção envolve mover o `xa alloc` para o final para evitar isso. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Foi identificado um impasse real, bem como um bug de bloqueio em modo de espera no kernel do Linux, especificamente no módulo drm/xe/client. O problema surge quando o bo put é a última referência, fazendo com que a destruição do bo tente acessar o mesmo spinlock e os bloqueios em modo de espera. Isso é resolvido descartando a referência usando `xe bo put deferred()` e movendo o commit final para fora do bloqueio. O processo de descartar o bloqueio em torno do put é complexo devido à possibilidade de o bo sair do escopo e se excluir da lista, tornando a navegação para a próxima entrada da lista um desafio.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” (UAF) no kernel do Linux, especificamente no módulo drm/xe. A vulnerabilidade ocorre quando o bloqueio da barreira faz parte da fila, e qualquer elemento que bloqueie a barreira também deve manter uma referência à fila para impedir que ela seja liberada. No entanto, o design atual sinaliza a barreira e, em seguida, descarta a referência à fila, o que pode levar a uma situação em que o bloqueio seja liberado como parte da fila, resultando em um UAF. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais em que esse problema tenha sido explorado. Para evitar isso, o bloqueio de barreira pode ser movido para dentro da própria barreira, a fim de evitar problemas de tempo de vida. Soluções alternativas podem incluir um bloqueio no nível do dispositivo ou liberar a fila apenas na chamada de retorno de liberação da barreira, embora isso possa exigir o envio para outro trabalhador para evitar problemas de bloqueio.

O problema está relacionado ao componente `drm/buddy` do kernel do Linux, especificamente à função `alloc range()`. Essa função retornava `SUCCESS` em certos casos extremos quando não conseguia encontrar os blocos de memória necessários, levando à corrupção da exibição ao inicializar o KDE Plasma ou ao rodar jogos. A abordagem correta é que a função retorne `-ENOSPC` quando o tamanho total alocado for menor que o tamanho necessário.