CVE-2022-48853

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: swiotlb: DMA_FROM_DEVICE ile bilgi sızıntısı düzeltildi Ele aldığım sorun, cve-2018-1000204 kapsamındaki LTP testi tarafından keşfedilmiştir. Gerçekleşenlerin kısa bir açıklaması şöyledir: 1) Test durumu, SG_IO arayüzü üzerinden şu parametrelerle 00 komut kodunu (TEST UNIT READY) gönderir: dxfer_len == 524288, dxdfer_dir == SG_DXFER_FROM_DEV ve ilgili bir dxferp. Buradaki tuhaflık, TUR'un cihazdan okuma yapmamasıdır. 2) sg_start_req() fonksiyonunda blk_rq_map_user() çağrısı, kullanıcı alanı tamponunu etkili bir şekilde sektirir (bounce). Sanki cihaz buraya veri aktaracakmış gibi işlem yapılır. a45b599ad808 ("scsi: sg: allocate with __GFP_ZERO in sg_build_invite()") commit'inden beri bu ilk sektirme tamponunun GFP_ZERO ile tahsis edildiğinden emin oluyoruz. 3) Hikayenin geri kalanında bunun bir TUR olduğunu görmezden gelmeye devam ediyoruz, dolayısıyla cihaz, sanki bir DMA_FROM_DEVICE durumu varmış gibi hazırladığımız tampona dokunmayacaktır. Kurulumum bir virtio-scsi cihazı kullanır ve SG tarafından tahsis edilen tampon, "in" sg'ler (burada scsi generics değil, scatter-gather) için DMA_FROM_DEVICE kullanan virtqueue_add_split() fonksiyonu tarafından eşlenir. Bu eşleme, swiotlb aracılığıyla sektirmeyi içerir (s390 Secure Execution veya AMD SEV gibi korumalı konuklarda virtio gerçekleştirmek için swiotlb'ye ihtiyaç duyarız). 4) SCSI TUR tamamlandığında, önce ikinci (yani swiotlb) sektirme tamponunun içeriğini (ki bu büyük olasılıkla önceki bazı IO verilerini içerir), tamamı sıfırlardan oluşan birinci sektirme tamponuna geri kopyalarız. Ardından birinci sektirme tamponunun içeriğini kullanıcı alanı tamponuna geri kopyalarız. 5) Test durumu, sıfırla başlattığı tamponun tamamen sıfırlardan oluşmadığını tespit eder ve başarısız olur. Bunun bir swiotlb sorunu olduğu savunulabilir; çünkü swiotlb olmadan tüm değerler sıfır olarak sızmaktadır ve swiotlb, sonucu etkilememesi anlamında şeffaf olmalıdır (diğer tüm katılımcılar düzgün davrandığı sürece). Orijinal tamponun içeriğinin swiotlb tamponuna kopyalanması, bu tür senaryolarda swiotlb'yi şeffaf hale getirmek için düşünebildiğim tek yoldur. Bu nedenle, şüphe durumunda bunu yapalım ancak sürücünün bize eşlenen tüm tamponun üzerine yazılacağını bildirmesine izin verelim; bu durumda eski davranışı koruyabilir ve ekstra sektirme işleminin performans etkisinden kaçınabiliriz.