CVE-2023-52854

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: padata: padata_free_shell() fonksiyonundaki refcnt yönetimi düzeltildi Yüksek yük altındaki bir arm64 ortamında, LTP içerisindeki pcrypt_aead01 testi sistemde UAF (Use-After-Free - serbest bırakıldıktan sonra kullanım) sorunlarına yol açabilmektedir. pcrypt_aead01 fonksiyon çağrısının analizi uzun sürdüğü için, problem senaryosu basitleştirilmiş bir modelle açıklanacaktır: Aşağıdaki kodda gösterildiği gibi, serial() çağrıldıktan sonra padata_free_shell fonksiyonunu çağırma gereksinimine uyan `user_function` adlı bir padata kullanıcısı olduğunu varsayalım: ```c struct request { struct padata_priv padata; struct completion *done; }; void parallel(struct padata_priv *padata) { do_something(); } void serial(struct padata_priv *padata) { struct request *request = container_of(padata, struct request, padata); complete(request->done); } void user_function() { DECLARE_COMPLETION(done) padata->parallel = parallel; padata->serial = serial; padata_do_parallel(); wait_for_completion(&done); padata_free_shell(); } ``` İlgili padata.c dosyasında şu kod yer almaktadır: ```c static void padata_serial_worker(struct work_struct *serial_work) { ... cnt = 0; while (!list_empty(&local_list)) { ... padata->serial(padata); cnt++; } local_bh_enable(); if (refcount_sub_and_test(cnt, &pd->refcnt)) padata_free_pd(pd); } ``` Sistemdeki yüksek yük ve bu sırada yürütülmemiş softirq birikmesi nedeniyle, padata içindeki `local_bh_enable()` normalden daha uzun sürede çalışmaktadır. Sonrasında `pd->refcnt` erişilmeye çalışıldığında, `pd` zaten `padata_free_shell()` tarafından serbest bırakılmış olduğundan, `pd->refcnt` ile ilgili bir UAF sorunu oluşmaktadır. Çözüm basitçe şudur: `padata_free_shell` içinde `padata_free_pd` çağrılmadan önce `refcount_dec_and_test` eklenmiştir.