CVE-2022-48869

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: USB: gadgetfs: Bağlama ve bağ çözme arasındaki yarış durumu düzeltildi syzbot fuzzer ve Gerald Lee, süreçlerin eş zamanlı olarak gadgetfs dosya sistemini bağlaması ve bağını çözmesiyle ilgili olarak gadgetfs sürücüsünde bir serbest bırakıldıktan sonra kullanım (use-after-free) hatası tespit etmiştir. Özellikle, gadgetfs_fill_super() fonksiyonu gadgetfs_kill_sb() ile yarış durumuna girebilir ve bu durum, ilkinci fonksiyon onu kullanırken ikincisinin the_device nesnesinin belleğini boşaltmasına neden olabilir. KASAN çıktısının bir kısmı şöyledir: BUG: KASAN: use-after-free in instrument_atomic_read_write include/linux/instrumented.h:102 [inline] BUG: KASAN: use-after-free in atomic_fetch_sub_release include/linux/atomic/atomic-instrumented.h:176 [inline] BUG: KASAN: use-after-free in __refcount_sub_and_test include/linux/refcount.h:272 [inline] BUG: KASAN: use-after-free in __refcount_dec_and_test include/linux/refcount.h:315 [inline] BUG: KASAN: use-after-free in refcount_dec_and_test include/linux/refcount.h:333 [inline] BUG: KASAN: use-after-free in put_dev drivers/usb/gadget/legacy/inode.c:159 [inline] BUG: KASAN: use-after-free in gadgetfs_kill_sb+0x33/0x100 drivers/usb/gadget/legacy/inode.c:2086 Write of size 4 at addr ffff8880276d7840 by task syz-executor126/18689 CPU: 0 PID: 18689 Comm: syz-executor126 Not tainted 6.1.0-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/26/2022 Call Trace: <TASK> ... atomic_fetch_sub_release include/linux/atomic/atomic-instrumented.h:176 [inline] __refcount_sub_and_test include/linux/refcount.h:272 [inline] __refcount_dec_and_test include/linux/refcount.h:315 [inline] refcount_dec_and_test include/linux/refcount.h:333 [inline] put_dev drivers/usb/gadget/legacy/inode.c:159 [inline] gadgetfs_kill_sb+0x33/0x100 drivers/usb/gadget/legacy/inode.c:2086 deactivate_locked_super+0xa7/0xf0 fs/super.c:332 vfs_get_super fs/super.c:1190 [inline] get_tree_single+0xd0/0x160 fs/super.c:1207 vfs_get_tree+0x88/0x270 fs/super.c:1531 vfs_fsconfig_locked fs/fsopen.c:232 [inline] En basit çözüm, her iki fonksiyonun da yeni bir mutex edinmesini sağlayarak gadgetfs_fill_super() ve gadgetfs_kill_sb() fonksiyonlarının serileştirilmesini sağlamaktır.