CVE-2025-39987

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: can: hi311x: arabellek taşmasını önlemek için ndo_change_mtu() dolduruldu Bir PF_PACKET gönderimi, CAN çerçeve mantığının atlanmasına ve bir CAN sürücüsünün xmit() fonksiyonuna doğrudan ulaşılmasına olanak tanır. PF_PACKET çerçevesi tarafından gerçekleştirilen tek kontrol, skb->len değerinin arayüzün MTU değeriyle uyumlu olduğundan emin olmaktır. Maalesef, sun4i_can sürücüsü net_device_ops->ndo_change_mtu() kısmını doldurmadığı için, bir saldırganın örneğin şu işlemi yaparak geçersiz bir MTU yapılandırması mümkündür: $ ip link set can0 mtu 9999 Bunu yaptıktan sonra saldırgan, kötü amaçlı CAN XL çerçeveleri enjekte etmek için ETH_P_CANXL protokolünü kullanarak bir PF_PACKET soketi açabilir: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) Örneğin: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; CAN sürücülerinin xmit() fonksiyonları, skb'nin geçerli olduğunu kontrol etmek için can_dev_dropped_skb() fonksiyonunu çağırır; ancak yukarıdaki koşullar altında, kötü amaçlı paket can_dev_dropped_skb() kontrollerini geçebilir: 1. skb->protocol, geçerli olan ETH_P_CANXL olarak ayarlanmıştır (fonksiyon gerçek cihaz yeteneklerini kontrol etmez). 2. uzunluk, geçerli bir CAN XL uzunluğudur. Bu nedenle, hi3110_hard_start_xmit() doğru şekilde işleyemeyeceği bir CAN XL çerçevesi alır ve bunu bir CAN çerçevesi olarak yanlış yorumlar. Sürücü, frame->len değerini başka hiçbir kontrol yapmadan olduğu gibi kullanacaktır. Bu durum, daha sonra hi3110_hw_tx() fonksiyonundaki şu satırda bir arabellek taşmasına neden olabilir: memcpy(buf + HI3110_FIFO_EXT_DATA_OFF, frame->data, frame->len); Burada frame->len, CAN XL çerçevesinin flags alanına karşılık gelir. Önceki örneğimizde canxl_frame->flags değerini 0xff olarak ayarlamıştık. Beklenen maksimum uzunluk 8 olduğu için, 247 baytlık bir arabellek taşması meydana gelir! Arayüzün MTU değerinin CAN_MTU'dan daha büyük bir değere ayarlanamamasını sağlamak için net_device_ops->ndo_change_mtu() doldurulmuştur. Kök nedenin düzeltilmesiyle bu arabellek taşması önlenmiştir.