В ядре Linux устранена следующая уязвимость:
nfsd: расширить поля адреса nfsd_genl_rqstp до sockaddr_storage
struct nfsd_genl_rqstp объявляет rq_daddr и rq_saddr как простые
«struct sockaddr» (16 байт). Когда подключен клиент IPv6 NFS,
nfsd_genl_rpc_status_compose_msg() преобразует эти поля в
«struct sockaddr_in6 *» (28 байт) и читает sin6_addr по смещению 8..24,
который простирается на 8 байт за конец 16-байтового поля sockaddr в
соседний элемент rq_flags. Затем 16-байтовый nla_put_in6_addr отправляет 8
байты усеченного адреса IPv6, за которыми следуют 8 байтов rq_flags для
пользовательское пространство через атрибуты сетевых ссылок NFSD_A_RPC_STATUS_SADDR6/DADDR6.
Это доступно любому непривилегированному процессу в пространстве имен сети.
поскольку NFSD_CMD_RPC_STATUS_GET использует GENL_CMD_CAP_DUMP без
GENL_ADMIN_PERM. Исправьте это, расширив rq_daddr и rq_saddr до структуры sockaddr_storage, чтобы
Приведения IPv6 работают в определенных пределах, копируя sizeof(struct sockaddr_storage)
байт в вызовах memcpy, чтобы захватить полный адрес, и
нулевая инициализация переменной стека genl_rqstp для предотвращения утечки
неинициализированные хвостовые байты через netlink.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: nfsd: widen nfsd_genl_rqstp address fields to sockaddr_storage struct nfsd_genl_rqstp declares rq_daddr and rq_saddr as plain "struct sockaddr" (16 bytes). When an IPv6 NFS client is connected, nfsd_genl_rpc_status_compose_msg() casts these fields to "struct sockaddr_in6 *" (28 bytes) and reads sin6_addr at offset 8..24, which extends 8 bytes past the end of the 16-byte sockaddr field into the adjacent rq_flags member. The 16-byte nla_put_in6_addr then ships 8 bytes of truncated IPv6 address followed by 8 bytes of rq_flags to userspace via the NFSD_A_RPC_STATUS_SADDR6/DADDR6 netlink attributes. This is reachable by any unprivileged process in the network namespace because NFSD_CMD_RPC_STATUS_GET uses GENL_CMD_CAP_DUMP without GENL_ADMIN_PERM. Fix by widening rq_daddr and rq_saddr to struct sockaddr_storage so the IPv6 casts operate within bounds, copying sizeof(struct sockaddr_storage) bytes in the memcpy calls so the full address is captured, and zero-initializing the genl_rqstp stack variable to prevent leaking uninitialized tail bytes through netlink.