CVE-2024-53171

Linux kernel-də aşağıdakı zəiflik aradan qaldırılmışdır: ubifs: authentication: ubifs_tnc_end_commit funksiyasında use-after-free xətasının düzəldilməsi TNC-yə daxiletmədən sonra ağac bölünə bilər və bu, düyünün `znode->parent` dəyərinin dəyişməsinə səbəb ola bilər. Ağacdakı digər düyünlərin daha sonrakı silinməsi (hansı ki, həmin düyünləri də azad edə bilər) zamanı yuxarıda qeyd olunan düyünün `znode->cparent` göstəricisi hələ də azad edilmiş düyünə işarə edə bilər. `ubifs_tnc_start_commit()` funksiyasında commit ediləcək düyünlər alınarkən bu `znode->cparent` yenilənməyə bilər. Bu isə daha sonra `ubifs_tnc_end_commit()` funksiyasındakı `write_index()` daxilində `znode->cparent`-ə müraciət edildikdə use-after-free xətasını tetikləyə bilər. Bu, `CONFIG_UBIFS_FS_AUTHENTICATION` aktiv olduqda, dövr şəklində aşağıdakıları icra etməklə tetiklənilə bilər: rm -f /etc/test-file.bin dd if=/dev/urandom of=/etc/test-file.bin bs=1M count=60 conv=fsync KASAN bundan sonra bunu bildirir: BUG: KASAN: use-after-free in ubifs_tnc_end_commit+0xa5c/0x1950 Write of size 32 at addr ffffff800a3af86c by task ubifs_bgt0_20/153 Call trace: dump_backtrace+0x0/0x340 show_stack+0x18/0x24 dump_stack_lvl+0x9c/0xbc print_address_description.constprop.0+0x74/0x2b0 kasan_report+0x1d8/0x1f0 kasan_check_range+0xf8/0x1a0 memcpy+0x84/0xf4 ubifs_tnc_end_commit+0xa5c/0x1950 do_commit+0x4e0/0x1340 ubifs_bg_thread+0x234/0x2e0 kthread+0x36c/0x410 ret_from_fork+0x10/0x20 Allocated by task 401: kasan_save_stack+0x38/0x70 __kasan_kmalloc+0x8c/0xd0 __kmalloc+0x34c/0x5bc tnc_insert+0x140/0x16a4 ubifs_tnc_add+0x370/0x52c ubifs_jnl_write_data+0x5d8/0x870 do_writepage+0x36c/0x510 ubifs_writepage+0x190/0x4dc __writepage+0x58/0x154 write_cache_pages+0x394/0x830 do_writepages+0x1f0/0x5b0 filemap_fdatawrite_wbc+0x170/0x25c file_write_and_wait_range+0x140/0x190 ubifs_fsync+0xe8/0x290 vfs_fsync_range+0xc0/0x1e4 do_fsync+0x40/0x90 __arm64_sys_fsync+0x34/0x50 invoke_syscall.constprop.0+0xa8/0x260 do_el0_svc+0xc8/0x1f0 el0_svc+0x34/0x70 el0t_64_sync_handler+0x108/0x114 el0t_64_sync+0x1a4/0x1a8 Freed by task 403: kasan_save_stack+0x38/0x70 kasan_set_track+0x28/0x40 kasan_set_free_info+0x28/0x4c __kasan_slab_free+0xd4/0x13c kfree+0xc4/0x3a0 tnc_delete+0x3f4/0xe40 ubifs_tnc_remove_range+0x368/0x73c ubifs_tnc_remove_ino+0x29c/0x2e0 ubifs_jnl_delete_inode+0x150/0x260 ubifs_evict_inode+0x1d4/0x2e4 evict+0x1c8/0x450 iput+0x2a0/0x3c4 do_unlinkat+0x2cc/0x490 __arm64_sys_unlinkat+0x90/0x100 invoke_syscall.constprop.0+0xa8/0x260 do_el0_svc+0xc8/0x1f0 el0_svc+0x34/0x70 el0t_64_sync_handler+0x108/0x114 el0t_64_sync+0x1a4/0x1a8 `ubifs_copy_hash()` funksiyasındakı problemli `memcpy()` çağırışı, bir düyün TNC-də kök (root) olduqda, lakin hələ də artıq azad edilmiş düyünə `cparent` vasitəsilə bağlı olduqda use-after-free xətasına səbəb olur. Daha konkret olaraq, aşağıdakı TNC nümunəsini nəzərdən keçirin: zroot / / zp1 / / zn Əgər `zp1` doludursa, `zn`-dən kiçik açara malik yeni `zn_new` düyününün əlavə edilməsi `tnc_insert()` funksiyasında bölünməni tetikləyəcək: zroot / \ / \ zp1 zp2 / \ / \ zn_new zn İndi `zn->parent` `zp2`-yə köçürülüb, *lakin* `zn->cparent` hələ də `zp1`-ə işarə edir. İndi isə `zn` istisna olmaqla bütün düyünlərin silinməsini düşünün. Məhz `tnc_delete()` funksiyası `zroot` və `zp2`-ni silmək üzrə olduqda: zroot \ \ zp2 \ \ zn `zroot` və `zp2` azad edilir və ağac çökmüş olur: zn `zn` indi yeni `zroot` olur. `get_znodes_to_commit()` funksiyası indi yalnız yeni `zroot` olan `zn`-i tapacaq və `write_index()` onun yanlış şəkildə artıq azad edilmiş `zp1`-ə işarə edən `znode->cparent` dəyərini yoxlayacaq. Beləliklə, `ubifs_copy_hash()` funksiyası yanlış şəkildə `znode->cparent->zbranch[znode->iip].hash` ilə çağırılır və bu da use-after-free xətasını tetikləyir! Bunu, `get_znodes_to_commit()` funksiyasında kök düyün üçün `znode->cparent` dəyərini açıq şəkildə `NULL` təyin etməklə düzəltmək olar. Çirkli (dirty) düyünlərin axtarışı...