В ядре Linux устранена следующая уязвимость:
bpf: отменить специальные поля при переработке значений карты. Пути обновления и удаления карты в настоящее время вызывают bpf_obj_free_fields(), когда
ценность заменяется или перерабатывается. Это делает разрушение поля зависимым
в контексте операции обновления/удаления.
Для программ отслеживания это
может включать контекст NMI, где указаны деструкторы kptr, uptr
открепление и уничтожение корня графа, как правило, небезопасны. Введите bpf_obj_cancel_fields() для пути к повторно используемому значению. Это только
выполняет NMI-безопасную очистку полей timer, workqueue и Task_work.
Поля, требующие полного уничтожения, остаются привязанными к переработанному значению.
и вместо этого уничтожаются путем окончательной очистки. Переключить массив и пути обновления/удаления/переработки хэш-таблицы для этой отмены
помощник. Сохраните bpf_obj_free_fields() для окончательного уничтожения карты и для
Деструкторы bpf_mem_alloc.
Предварительно выделенные хештебы не имеют распределителя деструкторы, поэтому разборка продолжает обрабатывать обычные и дополнительные элементы и полностью уничтожить их поля. Это намеренно ослабляет нетерпеливую семантику обновления/удаления карты. для специальных полей. Программы, использовавшие переработанный слот карты, становятся пусто сразу после обновления/удаления, мы полагались на поведение, которое не может быть безопасно реализовано из каждого контекста выполнения BPF без выгрузка произвольных деструкторов.
Есть вероятность, что это изменение нарушит программы, делающие предположения.
относительно страстного освобождения полей. Если да, то мы можем ослабить семантику, чтобы
отмена только тогда, когда irqs_disabled() будет истинным в будущем. Однако,
теоретически значения карт, которые охотно используются повторно, уже имеют более слабые
гарантирует, что параллельные пользователи смогут воссоздать освобожденные поля перед новым
элемент снова становится видимым.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: bpf: Cancel special fields on map value recycle Map update and delete paths currently call bpf_obj_free_fields() when a value is being replaced or recycled. That makes field destruction depend on the context of the update/delete operation. For tracing programs this can include NMI context, where referenced kptr destructors, uptr unpinning, and graph root destruction are not generally safe. Introduce bpf_obj_cancel_fields() for the reusable-value path. It only performs NMI-safe cleanup for timer, workqueue, and task_work fields. Fields that need full destruction are left attached to the recycled value and are destroyed by the final cleanup path instead. Switch array and hashtab update/delete/recycle paths to this cancel helper. Keep bpf_obj_free_fields() for final map destruction and for bpf_mem_alloc destructors. Preallocated hashtabs do not have allocator destructors, so teardown continues to walk the normal and extra elements and fully destroy their fields. This deliberately relaxes the eager-free semantics of map update/delete for special fields. Programs that relied on a recycled map slot becoming empty immediately after update/delete were relying on behavior that cannot be implemented safely from every BPF execution context without offloading arbitrary destructors. There is a chance this change breaks programs making assumptions regarding the eager freeing of fields. If so, we can relax semantics to cancellation only when irqs_disabled() is true in the future. However, theoretically, map values that get reused eagerly already have weaker guarantees as parallel users can recreate freed fields before the new element becomes visible again.
Характеристики атаки
Последствия
Строка CVSS v3.1