В ядре Linux устранена следующая уязвимость:
binfmt_misc: не допускать утечки пространства имен пользователя при сбое монтирования
bm_get_tree() принимает ссылку на пространство имен пользователя и передает ее
get_tree_keyed() в качестве ключа sget. sget_fc() перемещает эту ссылку в
sb->s_fs_info и очищает fc->s_fs_info, поэтому с этого момента
он принадлежит суперблоку, и bm_free() его больше не видит. Суперблок помещает его в ->put_super(). Но generic_shutdown_super()
вызывает ->put_super() только изнутри ветки if (sb->s_root), поэтому
ничто не освобождает его при сбое bm_fill_super():
- Ошибка kzalloc_obj() оставляет s_root NULL и вся ветвь
пропущен.
- Ошибка simple_fill_super() в файловом цикле оставляет значение s_root установленным, но
s_op по-прежнему указывает на simple_super_operations, у которого нет
->put_super(). bm_fill_super() устанавливает s_ops только один раз.
simple_fill_super() вернул успех и установил его раньше
тоже не поможет, потому что simple_fill_super() перезаписывает s_op.
В любом случае vfs_get_super() вызывает deactivate_locked_super() и
ссылка пропала навсегда. Монтирования binfmt_misc доступны пользователю
пространство имен, а индексный дескриптор и кэш dentry — SLAB_ACCOUNT, поэтому
непривилегированный вызывающий абонент в контрольной группе с ограниченным объемом памяти может выйти из строя
simple_fill_super() по требованию и утечка одного пространства имен пользователя за попытку. Вместо этого удалите ссылку в ->kill_sb(), которая выполняется безоговорочно,
таким же образом nfsd и rpc_pipefs освобождают свои ключи s_fs_info.
Это также не позволяет ->put_super() очищать s_fs_info, пока
superblock все еще находится на @fs_supers. generic_shutdown_super() оставляет его
там специально, чтобы sget_fc() продолжал находить его, пока kill_sb() не
запускается, но NULL s_fs_info заставляет test_keyed_super() пропустить его, поэтому
одновременное монтирование для одного и того же пространства имен пользователя пропускает функцию Grab_super().
подождите и создаст второй суперблок для пространства имен, которое все еще
сносят.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: binfmt_misc: don't leak the user namespace when the mount fails bm_get_tree() takes a reference to the user namespace and hands it to get_tree_keyed() as the sget key. sget_fc() moves that reference into sb->s_fs_info and clears fc->s_fs_info, so from that point on the superblock owns it and bm_free() doesn't see it anymore. The superblock drops it in ->put_super(). But generic_shutdown_super() only calls ->put_super() from inside the if (sb->s_root) branch, so nothing releases it when bm_fill_super() fails: - The kzalloc_obj() failure leaves s_root NULL and the whole branch is skipped. - A simple_fill_super() failure in the file loop leaves s_root set, but s_op still points at simple_super_operations, which has no ->put_super(). bm_fill_super() installs s_ops only once simple_fill_super() returned success, and installing it earlier wouldn't help either because simple_fill_super() overwrites s_op. Either way vfs_get_super() calls deactivate_locked_super() and the reference is gone for good. binfmt_misc mounts are available in a user namespace and both the inode and the dentry cache are SLAB_ACCOUNT, so an unprivileged caller under a tight memory cgroup can fail simple_fill_super() on demand and leak one user namespace per attempt. Drop the reference in ->kill_sb() instead, which runs unconditionally, the same way nfsd and rpc_pipefs release their keyed s_fs_info. That also stops ->put_super() from clearing s_fs_info while the superblock is still on @fs_supers. generic_shutdown_super() leaves it there on purpose so that sget_fc() keeps finding it until kill_sb() has run, but a NULL s_fs_info makes test_keyed_super() miss it, so a concurrent mount for the same user namespace skips the grab_super() wait and creates a second superblock for a namespace that is still being torn down.