CVE-2024-56640

Nel kernel Linux, è stata risolta la seguente vulnerabilità:

net/smc: correzione problema di use-after-free su LGR e link

Abbiamo riscontrato un problema di use-after-free su LGR/link, che si manifestava con il refcnt di LGR/link che raggiungeva prematuramente lo zero e avviava il processo di cleanup, rendendo l'accesso alle risorse insicuro.

refcount_t: incremento a 0; use-after-free.
WARNING: CPU: 14 PID: 107447 at lib/refcount.c:25 refcount_warn_saturate+0x9c/0x140
Workqueue: events smc_lgr_terminate_work [smc]
Call trace:
refcount_warn_saturate+0x9c/0x140
__smc_lgr_terminate.part.45+0x2a8/0x370 [smc]
smc_lgr_terminate_work+0x28/0x30 [smc]
process_one_work+0x1b8/0x420
worker_thread+0x158/0x510
kthread+0x114/0x118

oppure

refcount_t: underflow; use-after-free.
WARNING: CPU: 6 PID: 93140 at lib/refcount.c:28 refcount_warn_saturate+0xf0/0x140
Workqueue: smc_hs_wq smc_listen_work [smc]
Call trace:
refcount_warn_saturate+0xf0/0x140
smcr_link_put+0x1cc/0x1d8 [smc]
smc_conn_free+0x110/0x1b0 [smc]
smc_conn_abort+0x50/0x60 [smc]
smc_listen_find_device+0x75c/0x790 [smc]
smc_listen_work+0x368/0x8a0 [smc]
process_one_work+0x1b8/0x420
worker_thread+0x158/0x510
kthread+0x114/0x118

Il problema è causato da una ripetuta liberazione del refcnt di LGR/link. Un sospetto è che
smc_conn_free() venga chiamata ripetutamente perché alcune chiamate a smc_conn_free() dal percorso di ascolto del server non sono protette dal lock del socket.

ad esempio:

Chiamate sotto socklock | smc_listen_work
-------------------------------------------------------
lock_sock(sk) | smc_conn_abort
smc_conn_free | \- smc_conn_free
\- smcr_link_put | \- smcr_link_put (duplicato)
release_sock(sk)

Per questo motivo, si è deciso di aggiungere la protezione tramite sock lock nel percorso di smc_listen_work(), rendendolo esclusivo rispetto alle altre operazioni di connessione.