В ядре Linux устранена следующая уязвимость:
kcov: исправлено повреждение данных и состояние гонки на PREEMPT_RT.
syzbot сообщает о повреждении состояния KCOV в ядрах PREEMPT_RT, поскольку
временное хранилище, используемое для сохранения/восстановления удаленного состояния KCOV, в настоящее время
выделяется как область каждого процессора. В ядрах PREEMPT_RT обработчики softirq выполняются как вытесняемые потоки задач.
(например, ksoftirqd). Если контекст softirq вытесняет задачу, запускающую удаленный
KCOV безопасно сохраняет состояние задачи в области каждого процессора.
Однако если этот поток softirq впоследствии будет вытеснен потоком более высокого уровня,
приоритетный поток softirq на том же процессоре, второй softirq перезапишет
одна и та же область для каждого процессора, что навсегда уничтожает KCOV исходной задачи.
государство. Исправьте это повреждение данных, переместив временное хранилище с каждого процессора.
площадь к площади каждого потока. Поскольку каждый поток softirq теперь имеет свой собственный
В контексте задачи вложенное прерывание SoftIRQ больше не приводит к перезаписи данных.
Обратите внимание, что хотя временное хранилище теперь используется для каждого потока,
kcov_percpu_data.lock для каждого процессора должен быть сохранен, поскольку нам необходимо гарантировать, что
kcov_remote_start() и kcov_remote_stop() работают атомарно без
гонка с асинхронными прерываниями, которые манипулируют текущей задачей
ККОВ гос. Вполне вероятно, что выделение GFP_KERNEL с помощью vmalloc_node() в kcov_init()
уже вызвал Panic(), прежде чем вернуть NULL, поскольку не будет
OOM-убиваемые процессы пользовательского пространства, когда функция __init встроенного модуля
бежит. Но этот патч также исправляет сбой ядра при использовании vmalloc_node().
в kcov_init() вернул NULL, для kcov_init() осталось irq_area для каждого процессора == NULL
но kcov_remote_start() зависит от irq_area каждого процессора != NULL, что приводит к
(1) выполнение vmalloc() в kcov_remote_start() несмотря на контекст !in_task()
(2) доступ за пределы массива, если (1) удалось, но
kcov->remote_size < CONFIG_KCOV_IRQ_AREA_SIZE
(3) всегда происходит утечка памяти, выделенной (1), что в конечном итоге приводит к уничтожению всех
OOM-уничтожаемые процессы пользовательского пространства
проблемы.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: kcov: fix data corruption and race conditions on PREEMPT_RT syzbot is reporting KCOV state corruption on PREEMPT_RT kernels, for the temporary storage used for saving/restoring remote KCOV state is currently allocated as the per-CPU area. On PREEMPT_RT kernels, softirq handlers run as preemptible task threads (e.g., ksoftirqd). If a softirq context preempts a task running a remote KCOV session, it safely saves the task's state into the per-CPU area. However, if that softirq thread is subsequently preempted by a higher- priority softirq thread on the same CPU, the second softirq will overwrite the same per-CPU area, permanently destroying the original task's KCOV state. Fix this data corruption by moving the temporary storage from the per-CPU area to the per-thread area. Since each softirq thread now owns its own task context, nested softirq preemption no longer causes data overwrites. Note that while the temporary storage is now on a per-thread basis, the per-CPU kcov_percpu_data.lock must be retained, for we need to ensure that kcov_remote_start() and kcov_remote_stop() operate atomically without racing against asynchronous interrupts that manipulate the current task's KCOV state. It is likely that GFP_KERNEL allocation by vmalloc_node() in kcov_init() has already called panic() before returning NULL, for there will be no OOM-killable userspace processes when __init function of built-in module runs. But this patch also fixes crashing the kernel when vmalloc_node() in kcov_init() returned NULL, for kcov_init() left per-CPU irq_area == NULL but kcov_remote_start() depends on per-CPU irq_area != NULL, resulting in (1) doing vmalloc() in kcov_remote_start() despite !in_task() context (2) out-of-array-bounds access if (1) succeeded but kcov->remote_size < CONFIG_KCOV_IRQ_AREA_SIZE (3) always leak memory allocated by (1), eventually killing all OOM-killable userspace processes problems.