Descripción
En el Linux kernel se ha resuelto la siguiente vulnerabilidad: ceph: bound xattr value length in __build_xattrs() __build_xattrs() decodifica el blob de xattr suministrado por el MDS un atributo a la vez. Para cada atributo lee una longitud de nombre de 32 bits, avanza más allá de los bytes del nombre, lee una longitud de valor de 32 bits, registra el puntero al valor y avanza más allá de los bytes del valor. Los dos campos de longitud se leen con ceph_decode_32_safe(), pero el avance sobre los bytes del valor se hace con un simple "p += len" sin una comprobación ceph_decode_need() de que queden "len" bytes en el blob. Para todos los atributos salvo el último, el ceph_decode_32_safe() de la siguiente iteración sobre la longitud del nombre siguiente verifica implícitamente que el valor anterior no excedió el final del blob. El último atributo no tiene sucesor, por lo que su longitud de valor decodificada nunca se comprueba contra los límites del blob. Un servidor de metadatos malicioso o comprometido puede establecer la longitud del valor del último atributo en un número mayor que los bytes realmente presentes en el blob. El blob es una asignación dedicada con kvmalloc() dimensionada según la longitud recibida (ceph_buffer_new() en ceph_fill_inode()). __set_xattr() registra la longitud sobredimensionada en xattr->val_len tal cual, y un getxattr(2) posterior ejecuta memcpy(value, xattr->val, xattr->val_len) hacia un búfer suministrado por el usuario, copiando bytes situados más allá del final de la asignación de vuelta al espacio de usuario. Impacto: un servidor de metadatos malicioso divulga bytes adyacentes del heap del kernel a un usuario local mediante getxattr(2) sobre un archivo CephFS. Se agrega el ceph_decode_need() faltante para que una longitud de valor fuera de límites en el último atributo haga fallar la decodificación y devuelva -EIO en lugar de almacenarse.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Linux Afectadas: 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 848b80ca6b410f350d08b8ac19a00ef88223f2ea · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 01e3f19c301d492e12f16b3b463ac14d7cf3ebe7 · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a cb0cd79ae80476d1bc06bd9678484b6736f19588 · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 61f085cb8976c9cebc90e1a8933e4cc1ad8b0fce · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 38be2f3c41ecaba58bb92dc16603e09ba9fd64f1 · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 1dd356310b1660215f9a3626580bf8b363ef981e · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a b12b3320c81fd72ab36388fb2445fec9c3038f10 · 355da1eb7a1f91c276b991764e951bbcd8047599 y anteriores a 68d541754d6cd3bb98d1fd8314f57e5eb533557d
- Linux Afectadas: 2.6.34 No afectadas: 5.10.270 · 5.15.221 · 6.1.188 · 6.6.157 · 6.12.109 · 6.18.50
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en git.kernel.orggit.kernel.org/stable/c/848b80ca6b410f350d08b8ac19a00ef88223f2ea
- Referencia en git.kernel.orggit.kernel.org/stable/c/01e3f19c301d492e12f16b3b463ac14d7cf3ebe7
- Referencia en git.kernel.orggit.kernel.org/stable/c/cb0cd79ae80476d1bc06bd9678484b6736f19588
- Referencia en git.kernel.orggit.kernel.org/stable/c/61f085cb8976c9cebc90e1a8933e4cc1ad8b0fce
- Referencia en git.kernel.orggit.kernel.org/stable/c/38be2f3c41ecaba58bb92dc16603e09ba9fd64f1
- Referencia en git.kernel.orggit.kernel.org/stable/c/1dd356310b1660215f9a3626580bf8b363ef981e
- Referencia en git.kernel.orggit.kernel.org/stable/c/b12b3320c81fd72ab36388fb2445fec9c3038f10
- Referencia en git.kernel.orggit.kernel.org/stable/c/68d541754d6cd3bb98d1fd8314f57e5eb533557d
Ver el texto original en inglés (CVE.org)
ceph: bound xattr value length in __build_xattrs()
In the Linux kernel, the following vulnerability has been resolved: ceph: bound xattr value length in __build_xattrs() __build_xattrs() decodes the MDS-supplied xattr blob one attribute at a time. For each attribute it reads a 32-bit name length, advances past the name bytes, reads a 32-bit value length, records the value pointer, and advances past the value bytes. The two length fields are read with ceph_decode_32_safe(), but the value bytes themselves are advanced over with a bare "p += len" and no ceph_decode_need() check that "len" bytes remain in the blob. For every attribute except the last, the next iteration's ceph_decode_32_safe() on the following name length implicitly verifies that the previous value did not run past the blob end. The final attribute has no successor, so its decoded value length is never checked against the blob bounds. A malicious or compromised metadata server can set the last attribute's value length larger than the bytes actually present in the blob. The blob is a dedicated kvmalloc() allocation sized to the wire length (ceph_buffer_new() in ceph_fill_inode()). __set_xattr() records the oversized length in xattr->val_len verbatim, and a later getxattr(2) runs memcpy(value, xattr->val, xattr->val_len) into a user-supplied buffer, copying bytes past the end of the allocation back to user space. Impact: a malicious metadata server discloses adjacent kernel heap bytes to a local user via getxattr(2) on a CephFS file. Add the missing ceph_decode_need() so an out-of-bounds value length on the final attribute fails the decode and returns -EIO instead of being stored.