CVE-2017-1000410

La versione 3.3-rc1 e successive del kernel Linux è affetta da una vulnerabilità che risiede nell'elaborazione dei comandi L2CAP in ingresso - messaggi ConfigRequest e ConfigResponse. Questa perdita di informazioni deriva da variabili dello stack non inizializzate che possono essere restituite a un attaccante nello stato non inizializzato. Manipolando i flussi di codice che precedono la gestione di questi messaggi di configurazione, un attaccante può anche ottenere un certo controllo sui dati che verranno conservati nelle variabili dello stack non inizializzate. Ciò può consentire di bypassare KASLR e la protezione dei stack canaries - poiché sia i puntatori che i canaries dello stack possono essere trapelati in questo modo. Combinando questa vulnerabilità (ad esempio) con la vulnerabilità di RCE precedentemente divulgata nella parsing della configurazione L2CAP (CVE-2017-1000251), un attaccante potrebbe sfruttare la RCE contro kernel compilati con le mitigazioni sopra descritte. Ecco i dettagli di questa vulnerabilità: nella funzione l2cap_parse_conf_rsp e nella funzione l2cap_parse_conf_req, la seguente variabile viene dichiarata senza inizializzazione: struct l2cap_conf_efs efs; Inoltre, durante l'analisi dei parametri di configurazione in entrambe le funzioni, il case switch per la gestione degli elementi EFS potrebbe saltare la chiamata a memcpy che scriverebbe nella variabile efs: ... case L2CAP_CONF_EFS: if (olen == sizeof(efs)) memcpy(&efs, (void *)val, olen); ... L'olen nel sopra riportato if è sotto il controllo dell'attaccante e, indipendentemente da ciò, in entrambe le funzioni la variabile efs verrebbe infine aggiunta alla richiesta di configurazione in uscita che si sta costruendo: l2cap_add_conf_opt(&ptr, L2CAP_CONF_EFS, sizeof(efs), (unsigned long) &efs); Quindi, inviando una richiesta o risposta di configurazione contenente un elemento L2CAP_CONF_EFS, ma con una lunghezza dell'elemento diversa da sizeof(efs), si può evitare la memcpy sulla variabile efs non inizializzata, e la variabile non inizializzata verrebbe restituita all'attaccante (16 byte).