Vulnerabilidad de corrupción de memoria en Linux kernel

Descripción

En el kernel de Linux, se resolvió la siguiente vulnerabilidad: btrfs: corregir el reemplazo de xattr cuando varios xattrs están empaquetados en el mismo ítem Si tenemos un ítem btrfs_dir_item que empaqueta varios xattrs y luego reemplazamos el valor de uno de ellos (con la familia de llamadas al sistema setxattr(2)) por otro valor de tamaño diferente, terminamos con un btrfs_dir_item que no está completamente inicializado, lo que produce una corrupción que el verificador del árbol detecta al momento de la escritura del extent buffer. Esto se debe a que en btrfs_setxattr(), cuando encontramos un btrfs_dir_item con varios xattrs (porque el hash crc32c de sus nombres es el mismo), eliminamos uno de los ítems xattr (btrfs_dir_item) y luego insertamos uno nuevo, pero la eliminación y la inserción desplazan los datos existentes en la hoja y, por lo tanto, cuando el nuevo valor de un xattr tiene un tamaño diferente, el nuevo btrfs_dir_item queda en una sección de la hoja que no estaba inicializada y solo copiamos los datos del valor y establecemos la longitud del valor en el nuevo btrfs_dir_item, sin establecer el nombre, la longitud del nombre, la clave (que debe ser toda ceros para los xattrs), los flags (BTRFS_FT_XATTR) ni el ID de transacción. El siguiente script reproduce el problema: $ cat test.sh #!/bin/bash DEV=/dev/sdi MNT=/mnt/sdi mkfs.btrfs -f $DEV mount $DEV $MNT touch $MNT/testfile # Add two xattrs that, on btrfs, have the same hash (crc32c) for their # name and therefore are packed into the same btrfs_dir_item. setfattr -n user.foobar -v 123 $MNT/testfile setfattr -n user.WvG1c1Td -v qwerty $MNT/testfile # Verify the xattrs are present. echo "xattrs before:" getfattr --absolute-names --dump $MNT/testfile # Now replace the value of the foobar xattr with a significantly larger # value. setfattr -n user.foobar -v abcdefghijklmnopqrstuvwxyz $MNT/testfile # Check the xattrs have the expected values. echo "xattrs after:" getfattr --absolute-names --dump $MNT/testfile umount $MNT Al ejecutarlo: $ ./test.sh (...) xattrs before: # file: /mnt/sdi/testfile user.WvG1c1Td="qwerty" user.foobar="123" xattrs after: # file: /mnt/sdi/testfile user.WvG1c1Td="qwerty" Así, falta el xattr "user.foobar" y se produjo una cancelación de transacción al desmontar el sistema de archivos, con las siguientes trazas en dmesg: $ dmesg [869800.159271] BTRFS warning (device sdi): access to eb bytenr 30474240 len 16384 out of range start 16015 len 25964 [869800.159293] ------------[ cut here ]------------ [869800.159296] WARNING: fs/btrfs/extent_io.c:4408 at report_eb_range+0x44/0x60 [btrfs], CPU#8: getfattr/2605179 [869800.168961] Modules linked in: btrfs dm_thin_pool (...) [869800.190527] CPU: 8 UID: 0 PID: 2605179 Comm: getfattr Tainted: G W 7.3.0-rc3-btrfs-next-244+ #1 PREEMPT(full) [869800.193726] Tainted: [W]=WARN [869800.194502] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-0-gea1b7a073390-prebuilt.qemu.org 04/01/2014 [869800.197576] RIP: 0010:report_eb_range+0x44/0x60 [btrfs] [869800.198985] Code: 48 8b 7b 18 (...) [869800.203531] RSP: 0018:ffffce4541937d58 EFLAGS: 00010246 [869800.204609] RAX: 0000000000000000 RBX: ffff8dde054b8738 RCX: 0000000000000000 [869800.206137] RDX: 0000000000000000 RSI: 0000000000000001 RDI: ffffffffc04c92a0 [869800.207645] RBP: 0000000000003e8f R08: 0000000000000000 R09: 3fffffffffefffff [869800.226175] R10: ffffce4541937a88 R11: 0000000000000003 R12: 000000000000656c [869800.227594] R13: ffff8dde14be800f R14: 000000000000656c R15: 0000000000000069 [869800.229097] FS: 00007f59023bb780(0000) GS:ffff8de5788ed000(0000) knlGS:0000000000000000 [869800.231137] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [869800.232321] CR2: 0000558dc45e6a78 CR3: 0000000765b16004 CR4: 0000000000370ef0 [869800.233783] Call Trace: [869800.234330] <TASK> [869800.234791] read_extent_buffer+0x4d/0x100 [btrfs] [869800.235898] btrfs_listxattr+0x199/0x240 [btrfs] [869800.236912] vfs_listxattr+0x51/0 ---truncado---

Versiones afectadas

• Linux Afectadas: 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339 y anteriores a 7a53bb4668b319fc6c8a3ce2c21635125c7d2712 · 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339 y anteriores a 5877d7138cc4359d26fd7b010eedfd1b3162348f · 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339 y anteriores a a97114b9b00ed3d05156f3b2ddbf797296260389 · 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339 y anteriores a c1803697a60f22743aa28ad522f805e92d45e3f0 · 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339 y anteriores a 858bee1c77857aabcc2327cd32dd8266332de332 · 43f2e3615d181a7028ab797114c5960977669b2a · a873146ce4fb025c0b5c1322af5a6bad042f5363 · 02590fd855d1690568b2fa439c942e933221b57a · 55e97f654cbbbef70f9714f0e113604dd931e360 · 3.10.83 y anteriores a 3.11
• Linux Afectadas: 3.19 No afectadas: 6.6.160 · 6.12.113 · 6.18.57 · 7.2.11 · 7.3

Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.

Referencias

• Referencia en git.kernel.orggit.kernel.org/stable/c/7a53bb4668b319fc6c8a3ce2c21635125c7d2712
• Referencia en git.kernel.orggit.kernel.org/stable/c/5877d7138cc4359d26fd7b010eedfd1b3162348f
• Referencia en git.kernel.orggit.kernel.org/stable/c/a97114b9b00ed3d05156f3b2ddbf797296260389
• Referencia en git.kernel.orggit.kernel.org/stable/c/c1803697a60f22743aa28ad522f805e92d45e3f0
• Referencia en git.kernel.orggit.kernel.org/stable/c/858bee1c77857aabcc2327cd32dd8266332de332