Descripción
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad: RDMA/siw: Limitar las copias de encabezados fragmentados según la longitud restante siw_get_hdr() puede recibir un encabezado DDP/RDMAP extendido a lo largo de más de una devolución de llamada (callback) TCP. La primera devolución de llamada puede recibir la mayor parte del encabezado, mientras que la siguiente sigue limitando la copia a hdrlen - MIN_DDP_HDR en lugar de la cantidad de bytes faltantes. Esto hace que el destino avance más allá del final del encabezado y sobrescriba el estado de recepción, incluido fpdu_part_rcvd. Una devolución de llamada posterior puede entonces usar un valor negativo de fpdu_part_rcvd como desplazamiento de copia, lo que genera una escritura fuera de límites. Se utiliza la cantidad de bytes del encabezado ya recibidos al calcular la longitud de la siguiente copia.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Linux Afectadas: e3917c85f41ef1df64e27dc0e46ab0d803c5e73e y anteriores a 2c6fbcf4bfac0b2b186acc8d91154c0fa24468a7 · 308cd50f174c95a507527037f4de1a0396aa4325 y anteriores a af9f5b474a260ad23ffb9793d716a5e3bbce3b48 · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a 262dcd809723723ed8a4e05437ec7e9c21a8f17e · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a eb4d7a946970469b3ab0c762432bf161d5b0836c · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a 8628f8ebf41669302513fb3f0bf0eba38b226742 · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a b72dcfb9bf1f0f0147cda03dc59e4002a315067f · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a e6bdfdf3bcb02d0d626a45e8c98b7e63d2fddf9d · 754209850df8367c954ac1de7671c7430b1f342c y anteriores a 9ff797e516dbc1ecb73701ec4c24055712d44411 · e09caa38e10bcf027100cc22b0e3cc745a39ef0a · 0c14f795a9eab9344230f9933798b8ee496f497d
- Linux Afectadas: 6.1 No afectadas: 5.10.271 · 5.15.222 · 6.1.189 · 6.6.158 · 6.12.112 · 6.18.54
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en git.kernel.orggit.kernel.org/stable/c/2c6fbcf4bfac0b2b186acc8d91154c0fa24468a7
- Referencia en git.kernel.orggit.kernel.org/stable/c/af9f5b474a260ad23ffb9793d716a5e3bbce3b48
- Referencia en git.kernel.orggit.kernel.org/stable/c/262dcd809723723ed8a4e05437ec7e9c21a8f17e
- Referencia en git.kernel.orggit.kernel.org/stable/c/eb4d7a946970469b3ab0c762432bf161d5b0836c
- Referencia en git.kernel.orggit.kernel.org/stable/c/8628f8ebf41669302513fb3f0bf0eba38b226742
- Referencia en git.kernel.orggit.kernel.org/stable/c/b72dcfb9bf1f0f0147cda03dc59e4002a315067f
- Referencia en git.kernel.orggit.kernel.org/stable/c/e6bdfdf3bcb02d0d626a45e8c98b7e63d2fddf9d
- Referencia en git.kernel.orggit.kernel.org/stable/c/9ff797e516dbc1ecb73701ec4c24055712d44411
Ver el texto original en inglés (CVE.org)
RDMA/siw: Bound fragmented header copies by the remaining length
In the Linux kernel, the following vulnerability has been resolved: RDMA/siw: Bound fragmented header copies by the remaining length siw_get_hdr() can receive an extended DDP/RDMAP header across more than one TCP callback. The first callback may receive most of the header, while the next one still limits the copy to hdrlen - MIN_DDP_HDR instead of the number of missing bytes. This makes the destination move past the end of the header and overwrite the receive state, including fpdu_part_rcvd. A later callback can then use a negative fpdu_part_rcvd value as a copy offset, which creates an OOB write. Use the number of header bytes already received when calculating the next copy length.