CVE-2024-56555

Linux kernel'de aşağıdaki güvenlik açığı giderilmiştir: binder: binder_add_freeze_work() fonksiyonundaki OOB hatası düzeltildi binder_add_freeze_work() içerisinde, proc->inner_lock tutulurken proc->nodes üzerinde yineleme yapılır. Ancak, kilit iç içe geçme sırası nedeniyle önce node->lock kilidini almak için bu kilit geçici olarak serbest bırakılır. Bu durum, düğümleri proc->nodes rbtree yapısından kaldıran ve binder_dead_nodes listesine ekleyen binder_deferred_release() ile bir yarış durumuna (race condition) yol açabilir. rb_next() fonksiyonunun binder_dead_nodes üzerinden veri kullanması nedeniyle binder_add_freeze_work() içerisindeki yineleme bozulur ve bu da sınır dışı (out-of-bounds) erişimi tetikler: ================================================================== BUG: KASAN: global-out-of-bounds in rb_next+0xfc/0x124 Read of size 8 at addr ffffcb84285f7170 by task freeze/660 CPU: 8 UID: 0 PID: 660 Comm: freeze Not tainted 6.11.0-07343-ga727812a8d45 #18 Hardware name: linux,dummy-virt (DT) Call trace: rb_next+0xfc/0x124 binder_add_freeze_work+0x344/0x534 binder_ioctl+0x1e70/0x25ac __arm64_sys_ioctl+0x124/0x190 The buggy address belongs to the variable: binder_dead_nodes+0x10/0x40 [...] ================================================================== Bu durum, proc->nodes (rbtree) ve binder_dead_nodes (list) yapılandırmalarının, binder_node içerisindeki bir union aracılığıyla girişleri paylaşması nedeniyle mümkündür: struct binder_node { [...] union { struct rb_node rb_node; struct hlist_node dead_node; }; proc nesnesinin hala hayatta olup olmadığı kontrol edilerek yarış durumu giderilmiştir. Eğer hayatta değilse, yinelemeden çıkılır.