В ядре Linux устранена следующая уязвимость:
dm array: проверка заголовков блоков массива при чтении
array_block_check() проверяет blocknr и csum и ничего больше, в то время как
node_check() рядом с ним ограничил структурные поля, поскольку оба
были написаны. dm_array_cursor_next() берет свой цикл, связанный с
nr_entries и element_at() на диске — это незащищенная арифметика указателей, поэтому
счетчик больше, чем содержит блок, удерживает курсор в одном блоке, пока
индекс выходит за его пределы, и чтение выходит из буфера dm-bufio --
dm_cache_load_mappings() запускает его один раз для каждого блока кэша при активации. Проверьте заголовок на себя: отклоните нулевое значение value_size, требуйте
max_entries равным Calc_max_entries() для этого value_size и блока
размер и требует, чтобы nr_entries соответствовали. Равенство, а не верхняя граница,
поскольку счетчик ниже реальной емкости срабатывает BUG_ON() в fill_ablock() и
обрезка_аблок().
Запись метаданных в dm-массив удовлетворяет всем трем требованиям.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: dm array: validate array block headers on read array_block_check() validates blocknr and csum and nothing else, while node_check(), next to it, has bounded the structural fields since both were written. dm_array_cursor_next() takes its loop bound from the on-disk nr_entries and element_at() is unguarded pointer arithmetic, so a count larger than the block holds keeps the cursor in one block while the index grows past it and the read walks off the dm-bufio buffer -- dm_cache_load_mappings() drives it once per cache block at activation. Check the header against itself: reject a zero value_size, require max_entries to equal calc_max_entries() for that value_size and block size, and require nr_entries to fit. Equality rather than an upper bound, since a count below the real capacity trips BUG_ON() in fill_ablock() and trim_ablock(). Metadata dm-array writes satisfies all three.
Характеристики атаки
Последствия
Строка CVSS v3.1