CVE-2025-71066

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: net/sched: ets: ets_qdisc_change fonksiyonunda silme işleminden önce sınıf her zaman aktif listeden kaldırılmalıdır [email protected] şunları belirtmektedir: Güvenlik açığı, `ets_qdisc_dequeue` ve `ets_qdisc_change` arasında bir yarış durumudur (race condition). Bu durum, `struct Qdisc` nesnesi üzerinde serbest bırakıldıktan sonra kullanım (UAF) hatasına yol açar. Saldırganın bu hatayı tetiklemek için yeni kullanıcı ve ağ ad alanı (network namespace) oluşturma yetkisine sahip olması gerekir. Analizin sonundaki ek yorumlarıma bakınız. Analiz: static int ets_qdisc_change(struct Qdisc *sch, struct nlattr *opt, struct netlink_ext_ack *extack) { ... // (1) bu kilit, .change işleyicisinin (`ets_qdisc_change`), // .dequeue işleyicisiyle (`ets_qdisc_dequeue`) yarışmasını önler sch_tree_lock(sch); for (i = nbands; i < oldbands; i++) { if (i >= q->nstrict && q->classes[i].qdisc->q.qlen) list_del_init(&q->classes[i].alist); qdisc_purge_queue(q->classes[i].qdisc); } WRITE_ONCE(q->nbands, nbands); for (i = nstrict; i < q->nstrict; i++) { if (q->classes[i].qdisc->q.qlen) { // (2) sınıf q->active listesine eklenir list_add_tail(&q->classes[i].alist, &q->active); q->classes[i].deficit = quanta[i]; } } WRITE_ONCE(q->nstrict, nstrict); memcpy(q->prio2band, priomap, sizeof(priomap)); for (i = 0; i < q->nbands; i++) WRITE_ONCE(q->classes[i].quantum, quanta[i]); for (i = oldbands; i < q->nbands; i++) { q->classes[i].qdisc = queues[i]; if (q->classes[i].qdisc != &noop_qdisc) qdisc_hash_add(q->classes[i].qdisc, true); } // (3) qdisc kilidi açılır, artık .change işleyicisinin geri kalanıyla // paralel olarak dequeue çağrılabilir sch_tree_unlock(sch); ets_offload_change(sch); for (i = q->nbands; i < oldbands; i++) { // (4) sınıfımızın qdisc referans sayısını azaltıyoruz ve onu serbest bırakıyoruz qdisc_put(q->classes[i].qdisc); // (5) Eğer (4) ve (5) arasında .dequeue çağırırsak, ciddi bir UAF oluşur ve RIP kontrol edilebilir q->classes[i].qdisc = NULL; WRITE_ONCE(q->classes[i].quantum, 0); q->classes[i].deficit = 0; gnet_stats_basic_sync_init(&q->classes[i].bstats); memset(&q->classes[i].qstats, 0, sizeof(q->classes[i].qstats)); } return 0; } Yorum: Bu durum, bazı sınıfların qdisc değerleri NULL olarak atanmış olsa bile aktif listede kalmaya devam etmeleri nedeniyle oluşmaktadır. Bu commit, ilişkili qdisc silinmeden ve serbest bırakılmadan önce sınıfı her zaman aktif listeden kaldırarak bu sorunu düzeltmektedir. Hata Tetikleme Adımları ([email protected] tarafından gönderilen metnin kırpılmış versiyonu) ``` DEV="${DEV:-lo}" ROOT_HANDLE="${ROOT_HANDLE:-1:}" BAND2_HANDLE="${BAND2_HANDLE:-20:}" # child under 1:2 PING_BYTES="${PING_BYTES:-48}" PING_COUNT="${PING_COUNT:-200000}" PING_DST="${PING_DST:-127.0.0.1}" SLOW_TBF_RATE="${SLOW_TBF_RATE:-8bit}" SLOW_TBF_BURST="${SLOW_TBF_BURST:-100b}" SLOW_TBF_LAT="${SLOW_TBF_LAT:-1s}" cleanup() { tc qdisc del dev "$DEV" root 2>/dev/null } trap cleanup EXIT ip link set "$DEV" up tc qdisc del dev "$DEV" root 2>/dev/null || true tc qdisc add dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc qdisc add dev "$DEV" parent 1:2 handle "$BAND2_HANDLE" \ tbf rate "$SLOW_TBF_RATE" burst "$SLOW_TBF_BURST" latency "$SLOW_TBF_LAT" tc filter add dev "$DEV" parent 1: protocol all prio 1 u32 match u32 0 0 flowid 1:2 tc -s qdisc ls dev $DEV ping -I "$DEV" -f -c "$PING_COUNT" -s "$PING_BYTES" -W 0.001 "$PING_DST" \ >/dev/null 2>&1 & tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 0 tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc -s qdisc ls dev $DEV tc qdisc del dev "$DEV" parent ---truncated--- ```