CVE-2024-35877

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: x86/mm/pat: COW eşlemelerinde VM_PAT işlemenin düzeltilmesi COW eşlemelerinde PAT işleme doğru çalışmamaktadır: ilk PTE (veya aslında tüm PTE'ler), yazma hataları sırasında anon foliolara işaret edecek şekilde değiştirilebilir. PTE'lerden follow_phys() kullanarak doğru PFN ve cachemode değerlerini güvenilir bir şekilde kurtarmak COW eşlemelerinde çalışmayacaktır. follow_phys() kullanıldığında, sadece anon folionun adresi+koruması alınabilir (ki bu tamamen yanlıştır) veya swap/nonswap girişlerinde başarısız olunarak follow_phys() hatasına yol açılabilir; bu durum untrack_pfn() ve track_pfn_copy() fonksiyonlarında bir WARN_ON_ONCE() tetikler ve free_pfn_range() fonksiyonunun uygun şekilde çağrılmamasına neden olur. free_pfn_range() içerisinde ya memtype_free() çağrılmaz ya da yanlış aralıkla çağrılır, bu da muhtemelen bellek sızıntısına yol açar. Bunu düzeltmek için, follow_phys() fonksiyonu anon folioları döndürmeyi reddedecek şekilde güncellenmiş ve böyle bir durumla karşılaşıldığında COW eşlemeleri için vma->vm_pgoff içinde saklanan PFN kullanımı geri dönüş yolu olarak eklenmiştir. Artık cachemode gereksiniminin olmadığı COW eşlemeleriyle untrack_pfn() işlemi düzgün şekilde yönetilecektir. Ancak, ilk sayfa bir anon folio tarafından değiştirilmişse fork()->track_pfn_copy() başarısız olacaktır: bunun çalışması için cachemode değerini VMA'da saklamamız gerekir ki bu da muhtemelen VMA boyutunu artıracaktır. Şimdilik durumu basit tutalım ve track_pfn_copy()'nin bu durumda hata vermesini sağlayalım: zaten geçmişte swap/nonswap girişleriyle hata veriyordu ve anon foliolarla yanlış işlem yapıyordu. untrack_pfn() içindeki WARN_ON_ONCE() uyarısını tetiklemek için basit yeniden üretici: <--- C reproducer ---> #include <stdio.h> #include <sys/mman.h> #include <unistd.h> #include <liburing.h> int main(void) { struct io_uring_params p = {}; int ring_fd; size_t size; char *map; ring_fd = io_uring_setup(1, &p); if (ring_fd < 0) { perror("io_uring_setup"); return 1; } size = p.sq_off.array + p.sq_entries * sizeof(unsigned); /* Map the submission queue ring MAP_PRIVATE */ map = mmap(0, size, PROT_READ | PROT_WRITE, MAP_PRIVATE, ring_fd, IORING_OFF_SQ_RING); if (map == MAP_FAILED) { perror("mmap"); return 1; } /* We have at least one page. Let's COW it. */ *map = 0; pause(); return 0; } <--- C reproducer ---> 16 GiB RAM ve swap yapılandırılmış bir sistemde: # ./iouring & # memhog 16G # killall iouring [ 301.552930] ------------[ cut here ]------------ [ 301.553285] WARNING: CPU: 7 PID: 1402 at arch/x86/mm/pat/memtype.c:1060 untrack_pfn+0xf4/0x100 [ 301.553989] Modules linked in: binfmt_misc nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_g [ 301.558232] CPU: 7 PID: 1402 Comm: iouring Not tainted 6.7.5-100.fc38.x86_64 #1 [ 301.558772] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebu4 [ 301.559569] RIP: 0010:untrack_pfn+0xf4/0x100 [ 301.559893] Code: 75 c4 eb cf 48 8b 43 10 8b a8 e8 00 00 00 3b 6b 28 74 b8 48 8b 7b 30 e8 ea 1a f7 000 [ 301.561189] RSP: 0018:ffffba2c0377fab8 EFLAGS: 00010282 [ 301.561590] RAX: 00000000ffffffea RBX: ffff9208c8ce9cc0 RCX: 000000010455e047 [ 301.562105] RDX: 07fffffff0eb1e0a RSI: 0000000000000000 RDI: ffff9208c391d200 [ 301.562628] RBP: 0000000000000000 R08: ffffba2c0377fab8 R09: 0000000000000000 [ 301.563145] R10: ffff9208d2292d50 R11: 0000000000000002 R12: 00007fea890e0000 [ 301.563669] R13: 0000000000000000 R14: ffffba2c0377fc08 R15: 0000000000000000 [ 301.564186] FS: 0000000000000000(0000) GS:ffff920c2fbc0000(0000) knlGS:0000000000000000 [ 301.564773] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 301.565197] CR2: 00007fea88ee8a20 CR3: 00000001033a8000 CR4: 0000000000750ef0 [ 301.565725] PKRU: 55555554 [ 301.565944] Call Trace: [ 301.566148] <TASK> [ 301.566325] ? untrack_pfn+0xf4/0x100 [ 301.566618] ? __warn+0x81/0x130 [ 301.566876] ? untrack_pfn+0xf4/0x100 [ 3 ---kesildi---