В ядре Linux устранена следующая уязвимость:
net/smc: исправлена утечка количества ссылок сокетов в smc_switch_conns().
smc_switch_conns() принимает ссылку на сокет SMC перед удалением
lgr->conns_lock, поэтому соединение остается активным, пока слот CDC открыт.
получено:
sock_hold(&smc->sk);
read_unlock_bh(&lgr->conns_lock);
/* буфер предварительной выборки вне send_lock, может находиться в режиме ожидания */
rc = smc_cdc_get_free_slot(conn, to_lnk, &wr_buf, NULL, &pend);
если (RC)
перейти к ошибке;
Метка err_out удаляет только ссылку на ссылку wr_tx, поэтому этот ранний выход
возвращается без соответствующего sock_put(). Второй выход из ошибки не
это повлияло, поскольку к тому времени sock_put() уже был запущен. Утечка sk_refcnt означает, что smc_sock никогда не уничтожается.
Его отправить и
буферы приема остаются выделенными, а для пользовательского сокета сохраняется ссылка
в пространстве имен сети никогда не освобождается, поэтому netns больше не могут быть
снесен.
smc_cdc_get_free_slot() завершается сбоем, когда целевая ссылка выходит из строя или когда
Соединение было разорвано во время переключения. Оба
доступен во время переключения канала при сбое, который реализует эта функция, поэтому утечка
запускается теми же аппаратными событиями, которые запускают smc_switch_conns()
в первую очередь. Реструктурируйте так, чтобы существовал один sock_put(), охватывающий оба результата,
вместо добавления второго к пути ошибки.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: net/smc: fix socket refcount leak in smc_switch_conns() smc_switch_conns() takes a reference on the SMC socket before dropping lgr->conns_lock, so the connection stays alive while the CDC slot is fetched: sock_hold(&smc->sk); read_unlock_bh(&lgr->conns_lock); /* pre-fetch buffer outside of send_lock, might sleep */ rc = smc_cdc_get_free_slot(conn, to_lnk, &wr_buf, NULL, &pend); if (rc) goto err_out; The err_out label only drops the wr_tx link reference, so this early exit returns without the matching sock_put(). The second error exit is not affected, because sock_put() has already run by then. A leaked sk_refcnt means the smc_sock is never destroyed. Its send and receive buffers stay allocated, and for a user socket the reference held on the network namespace is never released, so the netns can no longer be torn down. smc_cdc_get_free_slot() fails when the target link goes down or when the connection has been killed while the switch is in progress. Both are reachable during the link failover this function implements, so the leak is triggered by the same hardware events that make smc_switch_conns() run in the first place. Restructure so there is a single sock_put() covering both outcomes, instead of adding a second one to the error path.