Zhihao Cheng

Foi identificado um problema de deadlock no kernel Linux, especificamente no sistema de arquivos ubifs. Isso ocorre quando processos concorrentes de rename whiteout e inode writeback são executados, causando o travamento das tarefas. O problema surge do mecanismo de bloqueio utilizado pelas funções `ubifs rename` e `ubifs write inode`, o que pode levar a uma situação de deadlock. O problema é acionado pela chamada de sistema `SYS renameat2` quando utilizada com a flag `RENAME WHITEOUT`, e pode ser reproduzido consumindo o espaço disponível antes que o kernel realize o budgeting para a operação de whiteout.

Um problema de double-free foi identificado no kernel do Linux, especificamente no módulo `ubifs`. O problema ocorre quando a operação `rename whiteout` falha devido a um problema de orçamento de espaço, fazendo com que o `whiteout ui->data` seja liberado duas vezes. Isso é confirmado por relatórios do KASAN, que indicam um erro de double-free ou invalid-free em `ubifs free inode`. O problema surge no processo `rename whiteout`, onde o `whiteout ui->data` é alocado e depois liberado, mas também é liberado novamente em `ubifs free inode`. O número estimado de dispositivos potencialmente afetados não foi fornecido.

O problema está relacionado a uma vulnerabilidade do tipo “use-after-free” no sistema de arquivos btrfs. Ela pode ser acionada ao montar o btrfs a partir de duas imagens com o mesmo fsid e dev uuids diferentes, em uma ordem específica. A vulnerabilidade afeta a variável `device->bdev file` na função ` btrfs free extra devids()`. Isso pode levar ao acesso não autorizado e à modificação de informações confidenciais. A exploração dessa vulnerabilidade pode permitir que um invasor comprometa a confidencialidade, integridade e disponibilidade de informações protegidas.

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.58 Descrição: Foi corrigida uma vulnerabilidade no kernel Linux relacionada aos sistemas de arquivos ext4. O problema ocorre na função dax iomap rw(), que mapeia blocos gravados e copia dados do usuário para esses blocos. Se o processo for encerrado pelo usuário, os dados copiados serão devolvidos e adicionados ao tamanho do inode, podendo exceder o tamanho do inode e causar falha no fsck. O problema é corrigido truncando-se as extensões se o comprimento gravado for menor do que o esperado. Recomendações: Para versões do kernel Linux anteriores à 6.6.58, atualize para a versão 6.6.58 ou posterior para resolver o problema. Como solução temporária, considere desativar a função dax iomap rw() até que um patch esteja disponível. Restrinja o acesso ao sistema de arquivos ext4 para minimizar o risco de exploração. Evite usar as variáveis `iter->pos` e `iocb->ki pos` no código afetado até que o problema seja resolvido.

A vulnerabilidade está relacionada à função `dispose list` no componente vfs do kernel do Linux. Ela é causada pela limpeza ou liberação incorreta de recursos, o que pode levar a um impasse quando o processo de recuperação de inodes tenta destruir inodes marcados com o sinalizador `I FREEING`. Esse problema pode ocorrer quando determinados sistemas de arquivos, como o ext4 com o recurso `ea inode` ou o ubifs com xattr, realizam pesquisas de inodes na função de retorno de chamada de remoção de inodes no contexto de percorrimento LRU de inodes. A vulnerabilidade pode resultar em uma condição de negação de serviço (DoS). Os detalhes técnicos sobre a exploração incluem: - **Pontos de extremidade da API:** Nenhum mencionado. - **Parâmetros ou variáveis vulneráveis:** `i ea`, `i reg`, `ixa`, `ib`, `ia`. - **Nomes de funções:** `prune icache sb`, `find inode fast`, `ext4 evict inode`, `ubifs jnl write inode`, `inode lru isolate`, ` iget`, `iget locked`, `ext4 iget`, `ubifs iget`.

O problema está relacionado ao componente ubifs do kernel do Linux, no qual as leituras do cache de páginas são realizadas sem bloqueio. Isso permite que um leitor simultâneo visualize dados antigos se a página recém-alocada for marcada como atualizada antes que os novos dados sejam copiados para ela. A vulnerabilidade pode ser explorada para causar uma negação de serviço. A chamada `SetPageUptodate` foi movida para `ubifs write end()`, após os novos dados terem sido copiados para a página, para resolver o problema. As funções `write begin slow()`, `ubifs write begin()` e `ubifs write end()` em `fs/ubifs/file.c` estão envolvidas na vulnerabilidade.

Existe um problema de use-after-free no kernel Linux, especificamente na função `ubi create volume()`. O problema surge quando a criação do volume falha e há uma tentativa de acessar o `eba tbl` após ele ter sido liberado. Isso ocorre devido à liberação redundante do `eba tbl`. O problema está relacionado às funções `ubi eba replace table()` e `ubi eba destroy table()`, e as `tbl->entries` são liberadas após o `eba tbl` ter sido destruído, levando a uma condição de use-after-free.

A bug in the Linux kernel's UBIFS (Unsorted Block Image File System) has been identified, which can cause a page migration issue. The problem arises when the `PG private` flag is set on a page without incrementing the reference count. This can lead to a situation where the page migration process believes the page is not in use by any other processes and attempts to migrate it, resulting in concurrent access to the page reference count. This can cause a kernel bug, leading to a crash.

O problema consiste em uma vulnerabilidade do tipo “use-after-free” na funcionalidade blktrace do kernel do Linux. Esse problema é desencadeado por um processo específico que envolve a remoção de um rastreamento de bloco pelo sysfs, seguida pelo acesso ao rastreamento removido. A vulnerabilidade pode ser reproduzida usando a função ioctl em /dev/sda e /dev/sdb com parâmetros específicos e, em seguida, removendo o rastreamento de bloco enquanto ele ainda está sendo acessado. A vulnerabilidade resulta em uma desreferência de ponteiro NULL no kernel. Os detalhes técnicos sobre a exploração incluem: - **Pontos finais da API:** A função ioctl é usada com os seguintes pontos finais: /dev/sda e /dev/sdb. - **Parâmetros ou variáveis vulneráveis:** A variável `buf size` na função `blk user trace setup` é definida como 127. - **Nomes de funções:** A vulnerabilidade envolve as funções `blk trace remove queue`, `synchronize rcu`, `blk trace free`, `relay close`, `rcu read lock`, ` blk add trace`, `trace note tsk`, `relay close buf`, `relay destroy buf`, `kfree`, `trace note` e `relay reserve`.

O problema decorre de operações simultâneas `xattr {set|get}` e `listxattr` no UBIFS, o que pode levar a problemas como falha de asserção, corrupção de memória e valores xattr desatualizados. Isso é resolvido com a introdução de um novo rw-lock em `@ubifs inode` para serializar as operações de gravação no xattr, permitindo que as operações de leitura simultâneas continuem funcionando.