В ядре Linux устранена следующая уязвимость:
net: mpls: инициализировать rtm_tos в mpls_getroute()
mpls_getroute() создает ответ RTM_NEWROUTE на RTM_GETROUTE.
запрос путем заполнения структуры rtmsg, выделенной из skb, данные которого
область не обнуляется (alloc_skb(NLMSG_GOODSIZE, ...)). Он устанавливает каждый
поле заголовка, кроме rtm_tos:
г = nlmsg_data (nlh);
г->rtm_family = AF_MPLS;
р->rtm_dst_len = 20;
г->rtm_src_len = 0;
г->rtm_table = RT_TABLE_MAIN;
г->rtm_type = RTN_UNICAST;
г->rtm_scope = RT_SCOPE_UNIVERSE;
г->rtm_protocol = rt->rt_protocol;
г->rtm_flags = 0;
Структура rtmsg не имеет заполнения, поэтому один неинициализированный байт rtm_tos
(смещение 3) копируется прямо в пространство пользователя при вызове Recvmsg(), что приводит к утечке
байт неинициализированной кучи памяти. Это в отличие от
mpls_dump_route(), который заполняет тот же заголовок и устанавливает
ртм_тос = 0.
Инициализируйте rtm_tos равным 0, что соответствует mpls_dump_route(). Воспроизводится с помощью KMSAN путем добавления маршрута MPLS и выдачи
не-RTM_F_FIB_MATCH RTM_GETROUTE для его метки:
ОШИБКА: KMSAN: утечка информации о ядре в _copy_to_iter+0x36c/0x33f0.
_copy_to_iter+0x36c/0x33f0
__skb_datagram_iter+0x196/0x12c0
skb_copy_datagram_iter+0x5b/0x210
netlink_recvmsg+0x37b/0xef0
... Uninit был создан по адресу:
__alloc_skb+0x8ca/0x10e0
mpls_getroute+0x1280/0x3a40
rtnetlink_rcv_msg+0x1138/0x15a0
...
Байт 19 из 64 не инициализирован.
(байт 19 = nlmsghdr(16) + смещение rtmsg 3 = rtm_tos)
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: net: mpls: initialize rtm_tos in mpls_getroute() mpls_getroute() builds the RTM_NEWROUTE reply to an RTM_GETROUTE request by filling a struct rtmsg allocated from an skb whose data area is not zeroed (alloc_skb(NLMSG_GOODSIZE, ...)). It sets every field of the header except rtm_tos: r = nlmsg_data(nlh); r->rtm_family = AF_MPLS; r->rtm_dst_len = 20; r->rtm_src_len = 0; r->rtm_table = RT_TABLE_MAIN; r->rtm_type = RTN_UNICAST; r->rtm_scope = RT_SCOPE_UNIVERSE; r->rtm_protocol = rt->rt_protocol; r->rtm_flags = 0; struct rtmsg has no padding, so the one uninitialised byte rtm_tos (offset 3) is copied straight to user space on recvmsg(), leaking a byte of uninitialised heap memory. This is in contrast to mpls_dump_route(), which fills the very same header and does set rtm_tos = 0. Initialize rtm_tos to 0, matching mpls_dump_route(). Reproduced with KMSAN by adding an MPLS route and issuing a non-RTM_F_FIB_MATCH RTM_GETROUTE for its label: BUG: KMSAN: kernel-infoleak in _copy_to_iter+0x36c/0x33f0 _copy_to_iter+0x36c/0x33f0 __skb_datagram_iter+0x196/0x12c0 skb_copy_datagram_iter+0x5b/0x210 netlink_recvmsg+0x37b/0xef0 ... Uninit was created at: __alloc_skb+0x8ca/0x10e0 mpls_getroute+0x1280/0x3a40 rtnetlink_rcv_msg+0x1138/0x15a0 ... Byte 19 of 64 is uninitialized (byte 19 = nlmsghdr(16) + rtmsg offset 3 = rtm_tos)