Ryusuke Konishi

Foi identificado um problema no Kernel Linux, especificamente no componente nilfs2. A função `nilfs lookup dirty data buffers()` acessa buffers anexados a folios/páginas de dados dirty sem o bloqueio adequado, potencialmente levando a problemas de use-after-free. Isso pode ocorrer quando `nilfs clear folio dirty()` é chamado assincronamente, fazendo com que os buffers percam a proteção do estado dirty e sejam liberados inadvertidamente por `try to free buffers()`. O problema decorre de uma condição de corrida que foi tratada ajustando a seção de bloqueio na função `nilfs lookup dirty data buffers()`.

O problema está relacionado ao sistema de arquivos nilfs2 no kernel Linux, especificamente à função nilfs clear folio dirty() no módulo fs/nilfs2/page.c. Está associado a uma gravação de memória além do buffer alocado. A exploração desse problema pode permitir que um invasor comprometa a confidencialidade, integridade e disponibilidade de informações protegidas. O problema surge quando o sinalizador “checked” de uma página/fólio não é desmarcado após ser descartado pela própria rotina do nilfs2, fazendo com que a verificação de integridade das entradas do diretório seja ignorada quando a página/fólio do diretório é recarregada.

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.61 Descrição: Foi identificado um possível problema de impasse no kernel Linux, especificamente no sistema de arquivos nilfs2. Esse problema surge ao criar novos links simbólicos usando a função nilfs symlink(), o que pode acionar a recuperação de memória envolvendo a camada do sistema de arquivos. Isso pode resultar em dependências circulares de bloqueio entre o semáforo de leitura/gravação nilfs->ns segctor sem, o s writers percpu rwsem (intwrite) e o pseudo-bloqueio fs reclaim. O problema ocorre porque os sinalizadores gfp do cache de páginas para links simbólicos são sobrescritos para GFP KERNEL via inode nohighmem(). Para corrigir esse problema, o sinalizador GFP FS é removido dos sinalizadores GFP do cache de páginas de links simbólicos recém-criados. Recomendações: Para versões do kernel Linux anteriores à 6.6.61, atualize para a versão 6.6.61 ou posterior para resolver o problema. Como solução alternativa temporária, considere remover o sinalizador GFP FS dos sinalizadores GFP do cache de páginas de links simbólicos recém-criados, da mesma forma que nilfs new inode() e nilfs read inode() fazem.

O problema está relacionado à função `nilfs btree check delete()` no módulo nilfs2 do kernel Linux, que pode causar acesso à memória fora do buffer de blocos ao recuperar a chave máxima, caso o nó raiz não tenha entradas. Isso pode ocorrer se o nó raiz da árvore B lido de um dispositivo estiver configurado dessa forma. O problema foi corrigido com a adição de uma verificação para esse caso.

Foi detectado um bug do tipo “use-after-free” no sistema de arquivos nilfs2 do kernel Linux. O bug ocorre quando a recuperação de dados é realizada usando logs parciais criados por gravações do dsync, mas ocorre um erro antes do início do gravador de log para criar um ponto de verificação recuperado. Como resultado, os inodes cujos dados foram recuperados permanecem na lista ns dirty files do objeto nilfs e não são liberados. Esse problema pode ser corrigido limpando os inodes que leram os dados de recuperação caso a rotina de recuperação falhe no meio do processo, antes do início do gravador de log.

Um problema de gerenciamento de estado na função de gravação de log do nilfs2 foi resolvido. O problema ocorria após a aplicação de um commit, permitindo que a função de gravação de log `nilfs segctor do construct()` emitisse solicitações de E/S continuamente, mesmo que os blocos de dados do usuário fossem divididos em vários logs entre segmentos. No entanto, duas falhas potenciais foram introduzidas no tratamento de erros. Se `nilfs segctor begin construction()` falhar durante a criação do segundo log ou dos logs subsequentes, a função de gravação de log retorna sem chamar `nilfs segctor abort construction()`, fazendo com que as operações do cache de página fiquem pendentes, aguardando o sinalizador de gravação posterior. Além disso, o sinalizador `NILFS I COLLECTED` definido em inodes normais permanece não desmarcado, podendo corromper o mapeamento de blocos.

O problema diz respeito ao sistema de arquivos nilfs2 no kernel Linux, onde os buffers do superbloco podem ser sobrescritos, trocados ou abandonados devido a várias operações. O acesso a esses buffers requer exclusão mútua por meio do semáforo de leitura/gravação `nilfs->ns sem`. No entanto, alguns métodos de exibição de atributos do sysfs leem o buffer do superbloco sem essa exclusão mútua necessária, levando a possíveis problemas com a desreferência de ponteiros e o acesso à memória.

Uma vulnerabilidade do tipo “use-after-free” no sistema de arquivos nilfs2 do kernel Linux foi resolvida. O problema ocorre ao montar e desmontar um padrão específico de imagens corrompidas do sistema de arquivos nilfs2, causando um bug no kernel na função `lru add fn()`. Isso ocorre porque a contagem de links de um arquivo de metadados fica corrompida para 0, e a função `nilfs evict inode()` tenta excluir esse inode. A inconsistência ocorre porque os diretórios contendo os números de inode desses arquivos de metadados são lidos sem verificação. A correção envolve tratar os números de inode desses arquivos internos como erros no auxiliar de verificação de integridade ao ler folios/páginas do diretório.

O problema está relacionado ao sistema de arquivos nilfs2 no kernel do Linux. Gravações destrutivas em um dispositivo de bloco no qual o nilfs2 está montado podem causar um bug no kernel na rotina de início ou na rotina de fim de gravação de folios/páginas. Isso ocorre porque o gravador de log inicia um writeback para blocos de resumo de segmento ou um bloco super-raiz que utilizam o cache de página do dispositivo de suporte sem aguardar o writeback de folio/página em andamento, resultando em um estado de writeback inconsistente. A correção envolve aguardar os writebacks em andamento ao colocar folios/páginas no dispositivo de suporte no estado de writeback.

Uma vulnerabilidade no sistema de arquivos nilfs2 do kernel do Linux está relacionada a referências a ponteiros nulos. Esse problema ocorre ao usar o ponto de rastreamento “block:block dirty buffer”, o que pode causar uma referência a um ponteiro nulo ou uma falha de proteção geral quando o KASAN está habilitado. O problema surge porque o tracepoint faz referência ao membro dev t bh->b bdev->bd dev, independentemente de o cabeçalho do buffer possuir um ponteiro para uma estrutura block device. A função nilfs grab buffer() não define o dispositivo de bloco, mas o faz apenas se o buffer não estiver no estado “uptodate” para cada uma de suas funções de leitura de bloco chamadoras. No entanto, se o sinalizador uptodate estiver definido em um folio/página, e os cabeçalhos de buffer forem desanexados dele por try to free buffers(), e novos cabeçalhos de buffer forem então anexados por create empty buffers(), o sinalizador uptodate pode ser restaurado em cada buffer sem que o dispositivo de bloco seja definido como bh->b bdev, e mark buffer dirty() pode ser chamado posteriormente nesse estado, resultando no bug mencionado acima.

O problema está relacionado ao componente nilfs2 do kernel do Linux, especificamente à função `nilfs get block()`. Essa função pode retornar um status de sucesso mesmo quando tanto a busca quanto a inserção de um bloco especificado falham, levando a um comportamento inconsistente. Se esse comportamento não for devido a um bug corrigido anteriormente, pode indicar uma condição de corrida inesperada, provocando o retorno de um erro temporário `-EAGAIN`. Isso impede que certos chamadores, como ` block write begin int()`, solicitem uma leitura em um buffer não mapeado, o que poderia fazer com que uma verificação `BUG ON` para o sinalizador `BH Mapped` em `submit bh wbc()` falhasse.

O problema está relacionado ao sistema de arquivos nilfs2 no kernel do Linux. Especificamente, a função auxiliar `nilfs recovery copy block()` de `nilfs recovery dsync blocks()` calcula incorretamente o deslocamento na página ao copiar dados de reparo para o cache de página do arquivo. Essa falha pode causar corrupção de dados e vazar bytes de memória não inicializados durante o processo de recuperação, particularmente em ambientes onde o tamanho do bloco é menor que o tamanho da página.