В ядре Linux устранена следующая уязвимость:
io_uring/query: ограничение размера пользователя передается в copy_struct_to_user
io_handle_query_entry() фиксирует hdr.size для входящего copy_from_user()
но сохраняет исходное пользовательское значение как usesize. copy_struct_to_user() использует
который использует size, и, когда он больше результата ядра,clear_user()s
конечные байты. Поскольку hdr.size имеет тип __u32, запрос может запросить обнуление почти 4 ГиБ.
включая путь к ошибке, где res_size остается равным 0. Интерфейс
доступен без звонка через IORING_REGISTER_QUERY.
Отклонять размеры, превышающие PAGE_SIZE, как рекомендуется для copy_struct_*.
интерфейсы.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: io_uring/query: cap user size passed to copy_struct_to_user io_handle_query_entry() clamps hdr.size for the inbound copy_from_user() but keeps the original user value as usize. copy_struct_to_user() uses that usize and, when it is larger than the kernel result, clear_user()s the trailing bytes. As hdr.size is a __u32, a query can request nearly 4 GiB of zeroing, including on the error path where res_size stays 0. The interface is reachable without a ring via IORING_REGISTER_QUERY. Reject sizes larger than PAGE_SIZE, as recommended for copy_struct_* interfaces.