В ядре Linux устранена следующая уязвимость:
bpf, x86: исправлено преобразование адресов каждого процессора в расширенный регистр. Назначение адреса MOV для каждого процессора закодировано в ModRM.reg,
который расширен REX.R, но префикс REX создан с помощью
add_1mod(), который устанавливает REX.B. REX.B расширяет ModRM.rm и SIB.base и
эта инструкция обращается к памяти как к disp32 без базы, поэтому бит
не имеет никакого эффекта, и старший бит регистра просто теряется.
Таким образом, каждый пункт назначения is_ereg() преобразуется в неправильный регистр.
выбираем тот, который разделяет три младших бита:
R5 -> RAX R7 -> RBP R8 -> RSI R9 -> RDI
При использовании BPF_REG_5, reg2hex которого равен 0, испускаемый
65 49 03 04 25 <выкл.> добавить %gs:<выкл>,%rax
добавляет смещение для каждого процессора в RAX, а не в R8. Пункт назначения сохраняет
нескорректированный адрес и RAX затираются, поэтому программа переходит к
разыменовать указатель, который никогда не создавался для каждого процессора:
ОШИБКА: невозможно обработать ошибку страницы для адреса: 0000607e386a8894. RIP: bpf_prog_707837aafd2aa9ae_update_percpu_data+0x93/0xc9
Отслеживание вызова:
__bpf_prog_test_run_raw_tp+0x2dc/0x7d0
__flush_smp_call_function_queue+0x1e9/0xc80
Паника ядра – нет синхронизации: фатальное исключение в прерывании
R5 — самый мягкий из четырех, псевдоним скретч-регистра и неисправность.
в магазине.
R7 использует псевдоним RBP и повредит указатель кадра, R8.
и R9 псевдоним регистров аргументов. Используйте add_2mod(), чтобы регистр проходил через REX.R, что соответствует тому, как
add_2reg() помещает его в ModRM.reg и как submit_priv_frame_ptr()
хардкоды 0x4c для той же инструкции с R9. Кодировки для
нерасширенные регистры не изменяются.
Проблема возникла при попытке воскресить BPF_GCC CI (самотестирование построено
с BPF_GCC). Это осталось незамеченным, поскольку clang перезагружает адрес в R1.
перед каждым доступом к каждому процессору, поэтому пункт назначения никогда не является расширенным
зарегистрироваться. GCC поддерживает работу нескольких адресов каждого процессора одновременно и
test_progs-bpf_gcc вызывает панику ядра в global_percpu_data/init, где
адрес переменной .percpu попадает в R5.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: bpf, x86: Fix per-CPU address resolution into an extended register The destination of the per-CPU address MOV is encoded in ModRM.reg, which is extended by REX.R, but the REX prefix is built with add_1mod(), which sets REX.B. REX.B extends ModRM.rm and SIB.base, and this instruction addresses memory as disp32 with no base, so the bit has no effect at all and the high register bit is simply lost. Every is_ereg() destination therefore resolves to the wrong register, picking whichever one shares the low three bits: R5 -> RAX R7 -> RBP R8 -> RSI R9 -> RDI With BPF_REG_5, whose reg2hex is 0, the emitted 65 49 03 04 25 <off> add %gs:<off>,%rax adds the per-CPU offset to RAX rather than R8. The destination keeps the unadjusted address and RAX is clobbered, so the program goes on to dereference a pointer that was never made per-CPU: BUG: unable to handle page fault for address: 0000607e386a8894 RIP: bpf_prog_707837aafd2aa9ae_update_percpu_data+0x93/0xc9 Call Trace: __bpf_prog_test_run_raw_tp+0x2dc/0x7d0 __flush_smp_call_function_queue+0x1e9/0xc80 Kernel panic - not syncing: Fatal exception in interrupt R5 is the mildest of the four, aliasing a scratch register and faulting at the store. R7 aliases RBP and would corrupt the frame pointer, R8 and R9 alias the argument registers. Use add_2mod() so the register goes through REX.R, matching how add_2reg() places it in ModRM.reg and how emit_priv_frame_ptr() hardcodes 0x4c for the same instruction with R9. Encodings for the non-extended registers are unchanged. Problem showed up when trying to resurrect BPF_GCC CI (selftests built with BPF_GCC). This has gone unnoticed because clang reloads the address into R1 before each per-CPU access, so the destination is never an extended register. GCC keeps several per-CPU addresses live at once, and test_progs-bpf_gcc panics the kernel in global_percpu_data/init, where the address of a .percpu variable ends up in R5.
Характеристики атаки
Последствия
Строка CVSS v3.1