Synacktiv

Existe uma condição de corrida na chamada de sistema `execve()` durante a execução de um binário SUID. O kernel instala o novo espaço de endereço virtual antes de atualizar as credenciais do processo. Isso cria uma janela onde um processo executado pelo mesmo usuário pode acessar a memória do processo alvo via procfs ou linprocfs, pois a verificação de permissão de depuração do kernel ainda utiliza as credenciais originais. Um usuário local não privilegiado pode explorar esse erro de sincronização para modificar o espaço de endereço de um binário SUID antes que suas credenciais sejam elevadas, potencialmente ganhando controle total do sistema.

O ativador de imagem ELF limpou as flags de preferência de ASLR (Address Space Layout Randomization, uma técnica de segurança que randomiza endereços de memória para evitar exploração) por processo para binários setuid após o cálculo do endereço base do PIE (Position Independent Executable). Essa sequência permitiu que a desativação do ASLR solicitada pelo usuário permanecesse ativa no momento da escolha do endereço base. Um usuário local não privilegiado pode desativar o ASLR para um binário setuid PIE chamando a função `procctl(2)` antes de `execve(2)`, o que facilita significativamente a exploração de qualquer outra vulnerabilidade de corrupção de memória nesse binário.

O problema está relacionado a um overflow de inteiro no protocolo SDP do Bluetooth, o que pode levar à execução remota de código. Isso foi demonstrado no Pwn2Own.

A questão envolve uma vulnerabilidade de bypass de autenticação por isolamento inadequado na funcionalidade Bluetooth. Foi descoberta por Mikhail Evdokimov, da PCAutomotive.

Name of the Vulnerable Software and Affected Versions: FCGI versions 0.44 through 0.82 Description: The included FastCGI library in FCGI is affected, causing an integer overflow and resultant heap-based buffer overflow via crafted `nameLen` or `valueLen` values in data to the IPC socket. This occurs in the `ReadParams` function in `fcgiapp.c`. Recommendations: For FCGI versions 0.44 through 0.82, consider disabling the `ReadParams` function in `fcgiapp.c` as a temporary workaround until a patch is available. Restrict access to the IPC socket to minimize the risk of exploitation. Avoid using crafted `nameLen` or `valueLen` values in data to the IPC socket until the issue is resolved.

A função virtio vq recordon está sujeita a uma condição de corrida entre o momento da verificação e o momento do uso (TOCTOU).

Um usuário mal-intencionado pode provocar um loop infinito no driver de áudio hda.

O problema diz respeito a uma leitura excessiva do buffer no driver hda, desencadeada por um valor controlado pelo sistema convidado. Isso permite uma possível exploração. Não há informações sobre o número estimado de dispositivos afetados ou incidentes reais.

O processamento da fila do driver NVMe está vulnerável a loops infinitos induzidos pelo sistema convidado.

A vulnerabilidade permite que o usuário especifique um tamanho arbitrário usando o comando `ctl persistent reserve out`, que será passado ao alocador de memória do kernel. Isso poderia potencialmente levar a uma alocação ilimitada na camada de destino CAM do ctl(4). Há menção a uma possível exploração por meio de conexões iSCSI não autenticadas, mas não são fornecidos mais detalhes.

A função do driver NVMe nvme opc get log page está vulnerável a uma leitura excessiva do buffer a partir de um valor controlado pelo convidado. Este problema está relacionado ao hipervisor bhyve e afeta o driver NVMe.

O problema está relacionado a uma validação de limites insuficiente no código USB, o que poderia levar a uma leitura fora dos limites na pilha (heap), resultando potencialmente em uma gravação arbitrária e na execução remota de código. Essa vulnerabilidade afeta a funcionalidade de emulação XHCI do hipervisor bhyve. O processo bhyve normalmente é executado com privilégios de root, aumentando o impacto potencial. Embora o bhyve opere em um ambiente isolado usando o Capsicum, o que limita os recursos disponíveis, o risco de exploração permanece. Todas as versões suportadas do FreeBSD são afetadas, sendo os sistemas que utilizam emulação XHCI particularmente vulneráveis.

A ausência do caractere de terminação nula no último elemento de uma string da matriz nvlist pode levar à gravação fora do buffer alocado.

Nome do software vulnerável e versões afetadas: libnv (versões afetadas não especificadas) Descrição: O problema está relacionado a um estouro de inteiro na biblioteca libnv, que pode ocorrer devido a um valor malicioso do parâmetro `size` em uma estrutura da libnv compactada. Esse estouro leva à alocação de um buffer menor do que o necessário para os dados analisados. A exploração desse problema pode permitir que um invasor remoto eleve seus privilégios ou cause uma negação de serviço. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

A função `ctl write buffer` definiu incorretamente um sinalizador, resultando em uma vulnerabilidade do tipo “Use-After-Free” no kernel quando um comando concluía o processamento. Um software malicioso em execução em uma VM convidada que expõe o virtio scsi pode explorar essa vulnerabilidade para executar código no host, no processo do espaço do usuário do bhyve, que normalmente é executado como root. Observe que o bhyve é executado em uma sandbox Capsicum, portanto, o código malicioso é limitado pelos recursos disponíveis para o processo do bhyve. Um iniciador iSCSI malicioso poderia executar código remotamente no host de destino iSCSI.

O problema está relacionado à função `ctl request sense()` no subsistema ctl dos sistemas operacionais FreeBSD, o que pode levar a um estouro de buffer na memória. Isso pode permitir que um invasor execute código arbitrário. Um software malicioso em execução em uma VM convidada que exponha `virtio scsi` pode explorar essa vulnerabilidade para conseguir a execução de código no host, no processo do espaço do usuário `bhyve`, normalmente executado como root. Observe que o `bhyve` é executado em uma sandbox Capsicum, restringindo o código malicioso aos recursos disponíveis para o processo `bhyve`. Um iniciador iSCSI malicioso também poderia conseguir a execução remota de código no host de destino iSCSI.

O problema está relacionado às funções `ctl write buffer` e `ctl read buffer`, que alocavam memória para ser devolvida ao espaço do usuário sem inicializá-la. Isso pode ser explorado por software malicioso em execução em uma VM convidada que expõe o virtio scsi para conseguir a execução de código no host no processo do espaço do usuário do bhyve, que normalmente é executado como root. Observe que o bhyve é executado em uma sandbox Capsicum, portanto, o código malicioso é limitado pelos recursos disponíveis para o processo do bhyve. Um iniciador iSCSI malicioso poderia conseguir a execução remota de código no host de destino iSCSI.

O problema está relacionado à função `ctl report supported opcodes`, que não validava suficientemente um campo fornecido pelo espaço do usuário, permitindo uma gravação arbitrária em uma quantidade limitada de memória auxiliar do kernel. Isso poderia ser explorado por software malicioso em execução em uma VM convidada que expõe `virtio scsi` para conseguir a execução de código no host no processo do espaço do usuário `bhyve`, que normalmente é executado como root. Observe que o `bhyve` é executado em uma sandbox Capsicum, portanto, o código malicioso é limitado pelos recursos disponíveis para o processo `bhyve`. Um iniciador iSCSI malicioso poderia conseguir a execução remota de código no host de destino iSCSI.

Um software malicioso em execução em uma VM convidada pode explorar um estouro de buffer para conseguir a execução de código no host, no processo do espaço do usuário do bhyve, que normalmente é executado como root. O processo do bhyve é executado em uma sandbox Capsicum, limitando o código malicioso às capacidades disponíveis para o processo do bhyve.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” no tratamento, pela operação UMTX OP SHM, da memória compartilhada anônima utilizada para mutexes compartilhados entre processos. A remoção simultânea de certos mapeamentos de memória compartilhada anônima usando a sub-solicitação UMTX SHM DESTROY da UMTX OP SHM pode levar à redução excessiva da contagem de referências do objeto que representa o mapeamento, fazendo com que ele seja liberado prematuramente. Um código malicioso que execute a sub-solicitação UMTX SHM DESTROY em paralelo pode causar um panic no kernel ou possibilitar novos ataques de uso após liberação, incluindo potencialmente a execução de código ou a fuga da sandbox do Capsicum.