В ядре Linux устранена следующая уязвимость:
ALSA: seq: исправлена утечка адреса кучи ядра вounce_error_event(). Комментарий выше buge_error_event() документирует, что клиенты пользователя
должен получить SNDRV_SEQ_EVENT_BOUNCE со встроенным исходным событием
как данные переменной длины, в то время как клиенты ядра должны получать
SNDRV_SEQ_EVENT_KERNEL_ERROR с указателем ядра в кавычках. Однако реализация безоговорочно использует
SNDRV_SEQ_EVENT_KERNEL_ERROR с data.quote.event, установленным в необработанное значение
Указатель struct snd_seq_event для всех клиентов.
Когда возникает ошибка возврата
Событие доставляется USER_CLIENT через snd_seq_read(), ядро
Адрес кучи в data.quote.event доступен пользовательскому пространству через
copy_to_user() в ветке фиксированной длины. Это путь утечки, отличный от того, который указан в коммите.
705dd6dcbc0e («ALSA: seq: Очистить указатель события переменной при чтении»),
который очищает data.ext.ptr в ветке переменной длины
snd_seq_read(). Утечка Bounce_error_event() использует фиксированную длину
события, которые принимают ветку else, где не происходит очистки.
Дифференцируйте событие возврата по типу клиента. Для USER_CLIENT,
отправить SNDRV_SEQ_EVENT_BOUNCE с SNDRV_SEQ_EVENT_LENGTH_VARIABLE
и data.ext, указывающий на исходное событие. Переменная длина
путь в snd_seq_event_dup() копирует данные события в цепочку
ячейки, а snd_seq_expand_var_event() копирует только содержимое —
никогда не указатель -- на пользовательское пространство.
Для KERNEL_CLIENT сохраните
существующее поведение SNDRV_SEQ_EVENT_KERNEL_ERROR с указанным
указатель.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: ALSA: seq: Fix kernel heap address leak in bounce_error_event() The comment above bounce_error_event() documents that user clients should receive SNDRV_SEQ_EVENT_BOUNCE with the original event embedded as variable-length data, while kernel clients should receive SNDRV_SEQ_EVENT_KERNEL_ERROR with a quoted kernel pointer. However, the implementation unconditionally uses SNDRV_SEQ_EVENT_KERNEL_ERROR with data.quote.event set to the raw struct snd_seq_event pointer for all clients. When a bounce error event is delivered to a USER_CLIENT via snd_seq_read(), the kernel heap address in data.quote.event is exposed to userspace through copy_to_user() in the fixed-length branch. This is a distinct leak path from the one addressed by commit 705dd6dcbc0e ("ALSA: seq: Clear variable event pointer on read"), which sanitizes data.ext.ptr in the variable-length branch of snd_seq_read(). The bounce_error_event() leak uses fixed-length events that take the else branch where no sanitization occurs. Differentiate the bounce event by client type. For USER_CLIENT, send SNDRV_SEQ_EVENT_BOUNCE with SNDRV_SEQ_EVENT_LENGTH_VARIABLE and data.ext pointing to the original event. The variable-length path in snd_seq_event_dup() copies the event data into chained cells, and snd_seq_expand_var_event() copies only the content -- never the pointer -- to userspace. For KERNEL_CLIENT, keep the existing SNDRV_SEQ_EVENT_KERNEL_ERROR behavior with the quoted pointer.