В ядре Linux устранена следующая уязвимость:
SUNRPC: проверка привязки xdr_buf_to_bvec() к хранилищам перед записью
xdr_buf_to_bvec() записывает bio_vec в массив вызывающего объекта перед
проверяется, находится ли этот слот в пределах досягаемости, и головная ветвь выполняет
магазин вообще без чека. Когда бюджет звонящего ровно
израсходовано, следующее хранилище помещает один элемент за конец массива. Метка переполнения возвращает счетчик — 1, который маскирует избыточное хранилище.
но не могу отменить его.
rq_bvec, массив, передаваемый функцией nfsd_vfs_write(), выделяется для
именно записи rq_maxpages без провисания.
Магазин OOB может приземлиться
соседняя пластина памяти; там записаны поля bv_len и bv_offset
извлекаются из размеров полезной нагрузки RPC, предоставленных клиентом. Переместите проверку диапазона перед хранилищем в заголовке, в цикле страниц,
и хвостовые ветви. Поставив галочку в начале каждой последовательности, посчитайте
увеличивается только после успешного сохранения, поэтому метка переполнения
может вернуть счетчик напрямую.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: SUNRPC: Bound-check xdr_buf_to_bvec() stores before writing xdr_buf_to_bvec() writes a bio_vec into the caller's array before testing whether that slot is in range, and the head branch performs the store with no check at all. When the caller's budget is exactly used up, the next store lands one element past the end of the array. The overflow label returns count - 1, which masks the surplus store but cannot undo it. rq_bvec, the array passed by nfsd_vfs_write(), is allocated to exactly rq_maxpages entries with no slack. The OOB store can land in adjacent slab memory; the bv_len and bv_offset fields written there are derived from client-supplied RPC payload sizes. Move the in-range check ahead of the store in the head, page-loop, and tail branches. With the check at the top of each sequence, count is incremented only after a successful store, so the overflow label can return count directly.
Характеристики атаки
Последствия
Строка CVSS v3.1